AWS IAM ?IAM은 Identity Access Management의 악어로 AWS 리소스에 대한 액세스를 안전하게 제어할 수 있게 해주는 서비스이다.즉, AWS의 사용자 계정, 권한, 역할 등을 관리할 수 있는 서비스이다.AWS 계정을 생성할 떄는 해당 계정의 모든 AWS 서비스 및 리소스에 대한 Full Access 권한이 있는 계정으로 시작하게 되는데 이 사용자를 "루트 사용자"라고 하고, 처음 시작 할 경우 Email 및 Password를 통해 액세스할 수 있게 된다.이는 AWS를 사용함과 동시에 MFA(Multi-Factor Authentication)를 설정하고 일상적인 작업에서는 루트 사용자 계정을 사용하지 않는 것을 권장한다.루트 사용자 계정을 일상 작업에 사용하지 않는 것을 권장하는..

Amazon S3 ?Amazon S3는 Simple Storage Service 의 약어로 AWS에서 제공하는 객체 기반 스토리지 서비스이다.Amazon S3 용도백업과 스토리지로 활용된다.재해 복구의 용도 ⇒ ex ) 리전이 다운되는 경우 다른 리전으로 백업할 때 해당 데이터 백업아카이브용 ⇒ S3에 파일을 아카이브해두면 추후 매우 쉽게 검색할 수 있다.하이브리드 클라우드 스토리지 ⇒ 온프레미스 → 클라우드 확장을 원할 경우미디어 호스팅다량의 데이터를 저장하고, 빅 데이터 분석을 수행하기 위해 사용정적 웹 사이트 호스팅버킷 이름은 다른 AWS 계정의 버킷이름과 중복될 수 없다.버킷은 전역적이지 않기 때문에 단 1개의 리전에서만 생성되고 존재한다.자세한 S3에 관한 내용은 아래 공식 홈페이지 참고http..

Amazon VPC(Virtual Private Cloud) ?  VPC는 Virtual Private Cloud의 약어로 사용자가 정의한 독립된 가상의 네트워크를 의미합니다.이 가상 네트워크는 사용자가 정의한 다양한 AWS 리소스를 실행할 수 있도록 지원해주는 특징을 가지고 있습니다.사용자는 VPC 내에 서브넷, 인터넷 게이트웨이, 라우팅 테이블, 보안 그룹, NACL 등을 생성하고 제어할 수 있습니다.서브넷(Subnet)서브넷은 VPC의 IP 주소 범위 즉, 부분적인 네트워크를 의미합니다.네트워크 망에서 서브넷을 통해 네트워크 망을 구분하고 연결하고 있습니다. 그리고 서로 서브넷 간 구분을 할 때 사용되는 것이 서브넷 마스크입니다.서브넷 마스크는 IP 주소에 네트워크 ID와 호스트ID를 구분하는 기준..

EC2 ?EC2(Elastic Compute Cloud)는 물리적 서버를 가상화 한 것으로 사용자는 어떤 하드웨어 스펙의 리소스와 운영체제, 소프트웨어로 인스턴스를 프로비저닝 할 것인지 결정할 수 있고, 종량제 과금 방식을 기반으로 비용을 부담하게 된다.EC2 인스턴스 생성  1. AWS Console에 접속 후 상단 검색 표시줄에 EC2를 검색하여 EC2 서비스에 접근한다.  2. EC2 Console에 접근 후 좌측 메뉴에서 인스턴스 메뉴로 이동 후 인스턴스 시작 버튼을 클릭  3. 인스턴스 이름 지정4. AMI 설정 : 위 예시에서는 프리 티어에서 무료로 사용할 수 있는 Amazon Linux를 설정하였다.  5. 인스턴스 유형 지정    인스턴스 패밀리인스턴스 패밀리주요 용도T버스팅M범용D고밀도 ..

1. 개념파일 업로드 기능이 있는 웹 상에서 업로드 파일에 대한 필터링 조치가 미흡한 부분을 이용하여 악의적인 파일(웹쉘) 업로드를 통해 시스템 권한을 장악하는 공격 기법공격자는 서버 사이드 스크립트(PHP, JSP, .NET 등)를 이용하여 웹쉘(Webshell)을 제작하여 업로드게시판 첨부 파일, 이력서 첨부 파일, 이미지 첨부 파일, 웹 채팅방 파일 공유 기능 등에서 발생※웹쉘(Web Shell) 원격에서 웹 서버를 제어하기 위한 목적으로 만들어졌으나, 현재는 해커가 악의적인 목적으로 웹서버에서 임의의 명령을 실행할 수 있도록 제작한 프로그램 2. 실습※ 본 실습은 DVWA Security Level을 Low로 설정해서 진행했습니다.2-1. 웹 쉘 기능을 포함하는 PHP 파일을 업로드 한 후 파일이..

1. 개념주로 PHP 애플리케이션에서 발생하는 취약점 중 하나include() 함수로 다른 파일을 소스 코드에 직접 삽입할 수 있고, 일반 사용자가 웹 요청을 통해 include 할 파일을 직접 설정할 수 있는 경우 발생동적으로 파일을 로드할 때 발생하며 삽입할 악성 스크립트 파일 위치에 따라 LFI(Local File Inclusion)와 RFI(Remote File Inclusion)로 나뉨1-1. LFI(Local File Inclusion)악의적인 공격자가 웹 응용 프로그램에서 로컬 파일을 로드하도록 유도하여 공격 방식접근하려는 파일이 외부(공격자) 컴퓨터에 존재하며, 공격자는 악성 스크립트를 실행하기 위해 웹 서버에 있는 로컬 파일 시스템에 액세스 가능1-2. RFI(Remote File Inc..