[웹해킹]-0주차 과제

프록시를 공부하시고 mjsec.kr/lms 주소를 버프슈트로 돌려보세요 로그인 후 나오는 response가 총 4개 있을텐데 mjsec.kr로 시작하는 url에 관한 정보들을 각각 정리해주세요 

 

1. URL

2.해당 패킷이 화면에서 뭘 담당하는지

 /lms/api/v1/auth/login  =>  로그인버튼 누르면 생김.메인화면으로 진입하게함

 /lms/api/v1/user/user-page  =>  화면 상단 우측에 있는 마이페이지에서 사용자 정보를 보여줌

/lms/api/v1/user/announcements  =>  화면 상단 중앙에 있는 공지사항을 보여줌(+ 실시간 보안 소식?)

/lms/api/v1/group/all  =>  화면 상단 좌측의 현재 수강중인 강좌의 그룹?들을 보여줌

 

3.안에 있는 내용물은 뭔지?

# /lms/api/v1/auth/login

POST /lms/api/v1/auth/login HTTP/2
Host: mjsec.kr
Content-Length: 53
Sec-Ch-Ua-Platform: "Windows"
Accept-Language: ko-KR,ko;q=0.9
Sec-Ch-Ua: "Not-A.Brand";v="24", "Chromium";v="146"
Content-Type: application/json
Sec-Ch-Ua-Mobile: ?0
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/146.0.0.0 Safari/537.36
Accept: */*
Origin: https://mjsec.kr
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Referer: https://mjsec.kr/lms/login
Accept-Encoding: gzip, deflate, br
Priority: u=1, i

{"studentNumber":60222588,"password":"Qlslqlsl1234!"}

맨 밑에 있는 로그인할때 입력한 정보를 담음

 

#/lms/api/v1/user/user-page


{"code":"SUCCESS",
"message":"유저 페이지 조회 성공",
"data":{
"userId":87,"name":"이영빈","studentNumber":60222588,"email":"dwbhyoungqlsl@naver.com","phoneNumber":"010-5303-2660","profileImage":null,"createdAt":"2026-01-06T04:16:46.814222","studyGroups":[{"studyGroupId":24,"name":"포너블 기초","category":"PWNABLE","generation":"3.5기","studyImage":"/uploads/85420378-a26e-425d-a744-78cc294fa657.jpg"},{"studyGroupId":27,"name":"리버싱대통합 - 우혁","category":"REVERSING","generation":"3.5기","studyImage":null},{"studyGroupId":16,"name":"Spring","category":"DEV","generation":"3.5기","studyImage":"/uploads/e8edd9ca-4fb9-4b52-94b6-b20b50a2fe33.png"},{"studyGroupId":31,"name":"다이노포스해킹박사TV강지원","category":"WEB","generation":"4기","studyImage":null},{"studyGroupId":35,"name":"파키케팔로사우루스","category":"WEB","generation":"4기","studyImage":null},{"studyGroupId":34,"name":"데헷>.< Ops...","category":"DEV","generation":"4기","studyImage":null}]}}

각종 내 정보들이 담겨있음

 

#/lms/api/v1/user/announcements

{"code":"SUCCESS","message":"전체 공지사항 목록 반환 성공","data":[{"announcementId":9,"userId":1,"title":"MJSEC 각종 서류 양식","content":"<p>MJSEC 각종 서류 양식입니다!</p>\n<p>해당 구글드라이브에서 양식을 다운받을 수 있습니다.</p>\n<p>Link:  <a href=\"https://drive.google.com/drive/folders/167Aj7kSXwJPLEYelMlEKhs9QCHABor3T?usp=sharing\" target=\"_blank\" rel=\"noopener\">https://drive.google.com/drive/folders/167Aj7kSXwJPLEYelMlEKhs9QCHABor3T?usp=sharing</a></p>\n<p> </p>","type":"NOTICE","createdAt":"2025-10-02T06:43:09.696613","updatedAt":"2025-10-02T06:43:09.696613"},{"announcementId":8,"userId":1,"title":"HSPACE SPACE WAR(디지털 포렌식) - 2025년 9월 27일 오후 1시~7시","content":"<p>안녕하세요!<br>이번주 토 9월 27일 오후 1시부터 7시까지<br><a href=\"forge.hspace.io\" target=\"_blank\" rel=\"noopener\">forge.hspace.io</a>에서<br>2025년도 여섯 번째 스페이스워가 진행됩니다.<br>*HSPACE 계정(구글 계정 로그인 가능)으로 로그인 가능합니다.</p>\n<p>이번 테마는 포렌식로<br>1. Hyper-V, Memory<br>2. Registry<br>3. SQLite<br>4. ZFS<br>5. Anti-Forensics<br>6. synology<br>7. Drone<br>8. Signal주제의 8문제가 출제됩니다.</p>\n<p>이전처럼 2문제 풀고 라업 제출시,<br>스벅상품권 만원을 보내드립니다.<br>* writeup 제출: <a href=\"https://hspace.io/u/Earth\" target=\"_blank\" rel=\"noopener\">https://hspace.io/u/Earth</a><br>많은 참여 부탁드립니다. 감사합니다.</p>","type":"COMPETITION","createdAt":"2025-09-25T03:01:08.741945","updatedAt":"2025-09-25T03:58:09.838157"},{"announcementId":7,"userId":1,"title":"FIESTA 2025(09.26 18:00~09.28 24:00)","content":"<p>\uD83D\uDD0D FIESTA 2025 &mdash; 금융보안 위협분석 대회<br>사이트주소: https://fiesta.fsec.or.kr/<br>\uD83D\uDCC6 일정<br>항목   기간/시간<br>체험장 운영   9월 15일(월) 09:00 ~ 9월 24일(수) 18:00<br>본 대회   9월 26일(금) 18:00 ~ 9월 28일(일) 24:00<br>시상식   11월 20일(목), 금융정보보호 컨퍼런스 FISCON 2025 행사장<br>\uD83C\uDFAF 참가 대상</p>\n<p>금융보안원 사원기관 재직자<br>대학(원)생 (단, 기업/기관 재직자 제외)</p>\n<p>\uD83C\uDFE2 주최 / 후원</p>\n<p>주최·ì£¼ê´€: 금융보안원<br>후원: 금융위원회</p>\n<p>\uD83D\uDCCC 기타</p>\n<p>지난 대회 출제 문제 풀어보는 &ldquo;플레이어&rdquo; 운영됨</p>\n<p>문의:<br>&ensp;&ensp;전화 &rarr; 02-3495-9421<br>&ensp;&ensp;이메일 &rarr; fiesta@fsec.or.kr</p>","type":"COMPETITION","createdAt":"2025-09-18T15:19:22.248495","updatedAt":"2025-09-18T15:19:58.303689"},{"announcementId":6,"userId":1,"title":"MJSEC 3기 여러분 환영합니다! - MJSEC LMS 개발진 -","content":"<p>안녕하세요 MJSEC 3기 여러분들 반갑습니다!</p>\n<p>드디어 2025년 9월 19일 00시에 MJSEC LMS가 배포되었습니다! </p>\n<p>해당 LMS개발은 2025년 여름방학부터 시작하여 3개월만에 개발이 완료하였습니다.</p>\n<p>MJSEC LMS 개발진들은 다음과 같으며 감사함을 표합니다.</p>\n<p><strong>[LMS 개발진]</strong></p>\n<ul>\n<li style=\"font-weight: bold;\"><strong>BACK: 박민수, 윤준환, 정유찬</strong></li>\n<li style=\"font-weight: bold;\"><strong>FRONT: 최윤호, 나건하</strong></li>\n<li style=\"font-weight: bold;\"><strong>DevOps, PM: 이종윤</strong></li>\n</ul>\n<p> </p>\n<p>많은 이용 부탁드리며 즐거은 스터디 활동이 되셨으면 좋겠습니다.</p>\n<p>감사합니다.</p>\n<p> </p>\n<p>*버그 관련 문의는 박민수, 이종윤(카톡 id: ialleejy)한테 보내주시면 감사하겠습니다.</p>\n<p> -MJSEC 초기회장 이종윤 드림-</p>","type":"NOTICE","createdAt":"2025-09-18T15:17:11.715394","updatedAt":"2025-09-18T15:19:47.463068"}]}

공지사항이나 게시글 내용이 들어있음

#/lms/api/v1/group/all

{"code":"SUCCESS","message":"전체 스터디 그룹 정보 조회 성공","data":[{"studyGroupId":24,"name":"포너블 기초","category":"PWNABLE","studyImage":"/uploads/85420378-a26e-425d-a744-78cc294fa657.jpg","generation":"3.5기","status":"INACTIVE"},{"studyGroupId":27,"name":"리버싱대통합 - 우혁","category":"REVERSING","studyImage":null,"generation":"3.5기","status":"INACTIVE"},{"studyGroupId":16,"name":"Spring","category":"DEV","studyImage":"/uploads/e8edd9ca-4fb9-4b52-94b6-b20b50a2fe33.png","generation":"3.5기","status":"INACTIVE"},{"studyGroupId":31,"name":"다이노포스해킹박사TV강지원","category":"WEB","studyImage":null,"generation":"4기","status":"ACTIVE"},{"studyGroupId":35,"name":"파키케팔로사우루스","category":"WEB","studyImage":null,"generation":"4기","status":"ACTIVE"},{"studyGroupId":34,"name":"데헷>.< Ops...","category":"DEV","studyImage":null,"generation":"4기","status":"ACTIVE"}]}

내가 속한 스터디 그룹의 대한 정보가 담겨져있다.

 

3.쿠키와 세션

쿠키

-클라이언트의 기록과 상태정보를 표현

-웹 서버에서는 다수의 클라이언트를 구분해야하는데 클라이언트 식별핼때 필요한 값을 쿠키에 저장

-쿠키 없으면 예전에 저장한 파일 보여줘!할떄 알아볼수 없음

-요즘에는 Storage APIs를 통해 데이터 저장하는 방식 사용

ex) 다시보지 않기, 7일간 표시하지 않기 같은것도 쿠키를 이용함

 

세션

-클라이언트가 인증정보를 변조할수 없게함

-인증정보를 서버에 저장하고해당 데이터에 접근할 수 있는 세션 아이디(키)를 만들어 클라이언트에 전달

-브라우저가 이 키를 쿠키에 저장, HTTP요청할떄 쿠키와 세션 위에 데이터를 얹어 서버에 요청

-서버가 그 데이터를 가져왕 ㅣㄴ증상태 확인

-통신 할때 저장했던 파일 보여줘!요청하면 다음부턴 내가 지금 주는 티켓 붙여서 말해 하는것

 

둘의 차이점

쿠키-데이터 자체를 클라이언트가 저장

세션-서버가 저장

 

토큰

-서버가 클라이언트의 신원을 확인하는데 사용

-공격자들이 이 토큰 탈취,악용

-CSRF 토큰

: 웹 어플리ㅔ이션에서 사용자의 세션을 보호하는데 사용되는 무작위로 생성된 고유한 값.

: 사용자의 브라우저에 저장, 사용자가 웹 상ㅣ트에 요청 보낼때마다 서버에 전송

: 서버는 토큰 사용하여 요청이 실제 사용자로부터 온것인지 확인 (일치여부)