[androgoat] Input Validations

1. Input Validations - XSS

XSS에 대한 내용이다

기본적으로 웹 진단할때와 동일하게 xss 구문을 입력하면 문제는 풀린다

<script>alert(1)</script>

 

2. Input Validations - SQL injection

이 또한, 앞서 XSS 문제와 동일하게, 웹 진단을 할 때 사용한 구문을 가져와서 사용하면 된다.

우선, Insecure Storage - SQLite에서 계정을 여러개 만들어야 모든 유저가 출력되는지 확인할 수 있기에

먼저 유저를 여러개 생성해주고 실습을 진행하여야 결과가 눈에 보인다

' or 1=1--

3. Input Validations - WEBVIEW

url 요청을 통해, 민감한 정보에 접근을 하라고 합니다

확인해보면, javascriptenabled에 의해 웹사이트에서 자바스크립트를 사용할 수 있게 해주고

텍스트를 가져와서 url로 변환하고 있음을 확인할 수 있습니다.

file:///data/data/owasp.sat.agoat/shared_prefs/users.xml

다음과 같은 명령어를 통해, 민감한 정보인 users의 정보를 가져올 수 있습니다.