코드스키

화이트햇스쿨 2주차 웹해킹 기초 시간에 멘토님이 워게임 링크를 하나 공유했다. whs.sakuya.kr, Blind SQL Injection 1단계부터 5단계까지 풀어보는 사이트였다. 로그인부터 하고 시작하는 구조였는데, 단계가 올라갈수록 필터가 하나씩 더 붙는 식이라 처음엔 쉽다가 뒤로 갈수록 손이 많이 갔다.Blind SQLi는 에러 메시지나 데이터를 직접 화면에 보여주지 않는 쿼리 인젝션이다. 대신 참/거짓에 따라 화면이 다르게 나오거나 응답 시간이 달라지는 걸 이용해서 데이터를 한 글자씩 추측해나간다. 이번 워게임은 Boolean 기반이라 응답 시간이 아니라 화면에 뜨는 결과(로그인 성공/실패, 참/거짓 메시지)가 참거짓 신호였다. 예를 들어 admin' AND SUBSTRING(password,..

보안 2026. 7. 26. 10:41

웹 CTF에서 화면만 보고 버튼을 누르다 보면 정작 단서는 CSS에 숨어 있는 경우가 있다. “Cascading the Seven Seas”를 보자마자 CSS(Cascading Style Sheets)를 의심했고, Chrome DevTools의 Sources 전체 검색으로 범위를 줄였다. 이 글은 현재 문제의 플래그나 정답을 공개하지 않고, 다른 웹 문제에도 그대로 쓸 수 있는 조사 순서만 정리한다.웹 CTF에서 CSS 단서를 찾는 Chrome DevTools 조사 흐름Elements만 보지 말고 로드된 리소스 전체를 본다첫 화면의 DOM만 펼쳐보다가 단서가 없으면 “소스에 아무것도 없다”고 착각하기 쉽다. 실제로는 인라인 , 동적으로 추가된 스타일시트, @import로 연결된 파일, 가상 요소의 con..

보안 2026. 7. 25. 13:59