새로나온 SM5이 상당히 Taurus 스러워진건 왜일까?
2009 알티마 대비 2010 뉴 알티마는 왜 네비게이션을 7인치에서 4인치대로 바꾼걸까?
네 생각이 답이라던 T가 어느샌가 T가 답이라고 하는건 왜일까? ㅡ_ㅡ
2010년 2월 1일 월요일
Fuzzing 이란?
fuzzing 이 이슈가 된지도 3년정도 된것같다.
바이너리는 물론 프로토콜에도 fuzzing 툴과 어플라이언스 장비도 나와있다.
1. Fuzzer란?
이름에서 알수있듯 여러 분야에서 응용되고 알려진 fuzzy 이론*과 동일한 어원의 용어로, 랜덤값 또는 시퀀셜한 값을 어플리케이션의 다양한 필드에 삽입하여 밝혀지지 않은 어플리케이션 취약점 (버퍼 오버플로우, 파라미터 포맷체크, 에러 핸들링, 사용자 입력값 체크 등)에서부터 확실히 유해하다고 보기는 어려운 정보 (OS버전, 어플리케이션 서버 버전, 데이터베이스 정보, 심지어는 사설 IP 등과 같은)를 알아내기 위해 사용되는 도구를 말한다.
보안 관점에서 취약성 발견(0-day 취약성 포함) 의 수단으로 사용되었고, SQL Injection 또는 Cross site scripting 공격에 사용되어왔다.
랜덤값 입력의 대상은 어플리메이션(특히 웹 어플리케이션) 뿐만 아니라 파일포맷, 프로토콜, 그리고 최근 환경변수, 키보드나 마우스 이벤트, API 호출과 같은 프로그램 입력값에도 응용되고 있으며, 데이터베이스, 공유메모리로 확대되고 있다.
프로토콜 퍼저는 조작된 페킷을 테스트대상 어플리케이션으로 전송하거나, proxy처럼 동작하여 요청패킷을 가로채어 다시 전송하는 행위를 하는 소프트웨어/장비를 말한다.
protocol fuzzer 사용예
Original: GET / HTTP/1.1
1. TEG / HTTP/1.1
2. {{{{ / HTTP/1.1
3. GET ```` HTTP/1.1
4. GET / %n%n%n%n
5. GET / 1.1/PTTH
6. GET / HTTP%n%n%n%n1.1
프로토콜 fuzzing은 궁극적으로 DDoS 공격에 사용될 수 있다는 점을 말하고자 한다.
최근 7.7 DDoS 에서 정상적인 사용과 구분되지 않는 형태의 CC attack 과 slowloris가 사용되었고, 향후 필드에서의 공격과 BMT 대응을 위해서라도 protocol fuzzer에 사용된 패턴의 공격형태에 대한 예방이 필요하다고 보여진다.
2. 프로토콜 퍼저로 발생되는 트래픽의 특성
가. 사용자가 삽입 문자열이나 위치를 지정할 수 있음
나. 삽입 위치의 규칙성이 없이 랜덤함.
다. null, %인코딩, 특정 문자열의 반복 형태가 다수임.
상기와 같은 특성으로 프로토콜 Penetration test에 사용되기도 함.
3. 대응방안
가. 주요 fuzzer에서 사용되는 데이터셋을 확보, 분석
나. 멀티컨텐츠 룰을 활용
4. 프로토콜 퍼저 툴 리스트
BreakingPoint Elite 의 application level fuzzing http://www.breakingpointsystems.com/solutions/application-fuzzing
RIP fuzzing 설정방법 http://www.breakingpointsystems.com/community/blog/fuzzing-the-routing-information-protocol-rip
웹 어플리케이션 퍼저
파일포맷 퍼저
beSTORM, 상용. http://www.beyondsecurity.com/black-box-testing.html
directory traversal 퍼징 데이터 http://www.ikkisoft.com/stuff/dirTraversal.txt
기타- NSS에서 공개한 IPS장비의 취약점 테스트 기준
----------------------------------------------------------------------
* fuzzy 이론
자연 언어 등의 애매함을 정량적으로 표현하기 위하여 1965년 미국 버클리대학교의 L. A. 자데(Zadeh) 교수에 의해 도입된 퍼지 집합의 사고방식을 기초로 하고 있다.
퍼지 집합의 개념은 각 대상이 어떤 모임에 속한다 또는 속하지 않는다는 이진법 논리로부터, 각 대상이 그 모임에 속하는 정도를 소속함수(membership function)로 나타냄으로써 수학적으로 표현할 수 있다. (출처: wikipedia)
2010년 1월 24일 일요일
숀리의 다이어트 따라하기
게으르미인 나의눈에 확 띈건 초간단(하다는) 숀리의 다이어트 동작!!
여기를 참고:
동영상자료는 여기
그림동작
숀리.. 빅뱅 탑과 좀 닮은듯하다 ㅋㅋ
빨리 일끝내고 집에가서 해봐야지!!
아아 라면이 땡긴다ㅠ.ㅠ
참고
체인지업 바디스쿨 (www.bodyschool.co.kr) 은 회사서 들어가지지 않는다...
2010년 1월 18일 월요일
2010년 1월 4일 월요일
새해결심
생활------------------------------
하루에 운동 한시간씩 하기
C의 달인이 되기
자격증 1개 꼭 따기
Career 확장방안 찾기
전공서적/논문 2주 1개 독파하기
회사생활 ---------------------
요청은 1시간내 회신하기 (늦을것 같으면 언제 가능하다는 noti 포함)
내 일 우선 끝내고 남의 일 도와주기 - 주당 1개
이렇게 적어놓고 정말.. 지킬수 있는 현실성 있는 목표를 세웠다고 뿌듯해하고 있었는데
오늘 회사 접속해보니, 목표가 좀 높아야 성공한다는 격언이...
글고 벌써 잠, 운동 삑사리가 시작되었다...
2009년 12월 2일 수요일
운전초보가 알아야 할 것들
자랑은 아니지만 운전을 시작하자마자, 사실 면허도 따기전에 가면허 상태에서, 그리고 따자마자 사고를 각각 내 본 경험으로 보면,
운전은 인명과 직접 관련된 작업으로,
차에 대해 이해하는 것, 관리, 그리고 운전이 모두 연관되어 통합된 것으로 운전자가 모두 습득해야 하는 것이기 때문에 각각에 대해 모두 이해하는게 필요하다고 생각된다.
그래서,, 나의 경험+궁금한것들을 적어보았다.
앞으로 이 부분들에 대해 내용을 보강해갈 계획이다.
일단 와꾸만 짜보면,
1. 자동차 구매
중고차 고르는 요령 (연습을 해야하므로) - 서류떼보는건 기본
- 확인할 사항
신규구매
- 등록세
- 취득세
- 절약방법
- 번호판
명의변경
보험선택
- 1인 2대 vs 1인1대씩 2대
- 가격이 15% 낮은데 다이렉트는 삼성애니카 서비스를 그대로 제공하나?
2. 운전
운전과 차랑관리는 별개라고 볼 수도 있지만, 몰아보면,, 운전이 곧 차량관리, 관리가 곧 운전임을 (음...성철..?) 느끼게 된다.
차량관리
- 엔진오일
- 부품에 대하여
- 자동차 구조와 동작원리
- 카센터 선택
- 청소
- 연료
- 옥탄가란?
- 세차
- 실내
- 실외
유리막코팅!
3. 튜닝에 대하여
뭐 거창한게 아니라 좀 연식이 된 차의 오너라면 당연히 필요하게 되는 사항이다.
- 룸미러
왜 룸미러를 큰 것으로 바꾸면 안되는가? (실은 나도궁금..)
완전 잘보이는 큰 거울들을 많이 팔고있다.
왜? 왜 교통안전공단에서는 쓰지 말라는것일까? (다시 책을 들춰봐야겠다)
- 후방센서 DIY
- 후방카메라 DIY
- 블랙박스?
- 미러, 페달, 콘솔박스..
일단 여기까지.
피드 구독하기:
글 (Atom)