PRACTICE MATERIAL
FTP · 패킷 캡처 9
「COMMAND EXEC」 문맥에 삽입된 원본 패킷 캡처이다. 명령 주입·XXE·역직렬화와 실행 경계 학습 내용과 함께 당시 구성·설정·관찰 결과를 비교할 수 있다.
CONCEPT → PRACTICE → VERIFICATION
웹의 Ping 기능을 입력·프로세스·출력으로 분해하기
입력 문자열이 셸 문법으로 해석되는 경계를 찾고 안전한 인자 전달 방식으로 바꾼다.
- 웹 입력이 만드는 정상 프로세스를 추적한다폼의 주소 입력은 ping 프로그램에 전달되는 데이터여야 한다. 웹 서버가 주소를 셸 명령 문자열에 붙이면 데이터와 셸 구문이 같은 문맥에 놓인다.
- 웹 결과와 프로그램 출력을 연결한다터미널 출력의 ping -c 3은 세 번의 요청 횟수를 지정한다. 웹이 이 출력을 그대로 반환한다면 서버 명령 결과가 응답 경로에 들어간 것이다.
- 실행 전 거부와 실행 실패를 나누어 시험한다주소 형식 오류는 프로세스를 만들기 전에 거부한다. 정상 주소의 응답 없음·시간 초과는 실행 단계의 실패로 구분한다.
