8-1.CAPTHCA ATTACK(DVWA - Low,Medium)

CAPTCHA

컴퓨터가 알 수 없는 그림이나 글씨를 이용해서 사람인지 컴퓨터인지 확인하는 방법이다. 

 

CAPTCHA ATTACK(DVWA - Low)

1. Low단계에서 Captcha요청을 BurpSuite로 캡처하겠다. Http history에서 요청을 보면 step파라미터에는 1이 대입되어있고 g-recaptcha-response파라미터가 있는데 g-recaptcha-response(recaptcha_challenge_filed) 파라미터는 CAPTCHA를 확인할 때 쓰는 랜덤 값이다. recaptcha_response_file파라미터는 CAPTCHA에 입력한 값이다.

 

2. Change를 누르면 두 번째 요청을 볼 수 있는데 step파라미터가 2로 바뀐 것을 볼 수 있다. password파라미터도 들어있는 것을 보아 두 번째 요청에서 password파라미터를 다른 패스워드로 바꿔서 요청을 보내면 패스워드가 바뀌는 것을 볼 수 있다. 

 

3. 첫 번째 요청에서 CAPTCHA를 확인하였기 때문에 두 번째 요청을 위조하여 우회할 수 있다.

 

CAPTCHA ATTACK(DVWA - Medium)

 

1. Medium단계에서도 Low단계와 마찬가지로 2번의 요청으로 비밀번호를 바꾼다. passed_captcha파라미터만 추가되고 Low단계와 다르지 않다. 결국 첫 번째 요청에서 Captcha를 확인하기 때문에 2번째 요청에서 password파라미터를 변경하여 전송하면 패스워드를 쉽게 바꿀 수 있다.