의미없는 블로그

보호되어 있는 글입니다.

보호되어 있는 글입니다.

AWS EC2 내부에서는 169.254.169.254 라는 특수 IP(IMDS)를 통해 해당 EC2의 메타데이터를 조회할 수 있다그래서 EC2에 띄워진 웹에서 SSRF 취약점 존재하면 169.254.169.254로 서버 정보 조회할 수 있다curl -s http://169.254.169.254/latest/meta-data/iam/security-credentials/ 하면 해당 EC2에 연결되어 있는 IAM Role 이름이 출력 된다 (ex. my-ec2-application-role)curl -s http://169.254.169.254/latest/meta-data/iam/security-credentials/my-ec2-application-role 이름을 한번 더 붙여서 호출하면 임시 자격증명(..

H2 DB는 Spring Boot 같은 앱에 기본으로 내장되어 있는 DB이다JVM 안에서 돌아가니까 앱이랑 같이 살고 같이 죽는다 서버 안에 MariaDB + Spring Boot(H2 DB) 띄워져 있으면 이런 그림인거지 H2 DB는 :9090/h2-console 로 웹에서 DB 콘솔이 열린다그리고 인증이 기본적으로 없거나 약하다 (sa / 빈 패스워드가 흔함)java -cp h2-1.4.196.jar org.h2.tools.Shell (H2 Shell 실행)URL: jdbc:h2:tcp://원격서버IP:9090/~/testDriver: org.h2.DriverUser: saPassword: [아무것도 입력하지 않고 Enter]JDBC URL 파라미터로 임의 코드 실행도 가능하다 (CVE-2021-42..

Wormhole NTT Hub-and-Spoke 구조- 웜홀은 오픈소스 이름이라고 보면 된다- NTT는 네이티브 토큰인데, ETH/SOL 같은 L1 토큰만 말하는게 아니라 Wrapped 가 아닌 토큰들을 말함- Hub는 토큰이 존재하는 메인 체인인데, 여기서 Lock 함- Spoke는 토큰을 받는 체인들인데, 여기서 Mint 함 NTTManager- 보내는 쪽에서는 여기에 Lock 시키고- 받는 쪽에서는 얘가 유저 지갑에 Mint 시킨다

얘는 이더처럼 주소 하나에 코드, 잔고, 메타데이터가 다 있지 않고코드 따로, 잔고 따로, 메타데이터 따로 있다 Aptos에 KGEN이란 토큰이 있는데 - 이 주소에는 발행량 같은 메타데이터 있고- 밑에 owner 주소도 있는데 거기 가보면- owner 주소에는 코드 내용이 있다

아니 왜케 코인마다 다 다른겨통일성이 없고 매번 새롭다 원래 보통 자체 메인넷의 코인들은 네이티브 코인이라토큰 컨트랙트가 별도로 없었는데 CELO는 자체 메인넷(CELO)에서 토큰 컨트랙트가 존재한다 왜냐면 원래 처음에 설계할 때 부터모든 네이티브 자산을 스마트 컨트랙트화하자 라는 패러다임으로 설계되었다고 함 원래 이더리움은네이티브 코인인 ETH가 있고그 위에 토큰 컨트랙트로 존재하는 ERC-20 규격의 코인들이 있는데 ETH가 컨트랙트가 아니기 때문에ERC-20의 송금 기능 이런걸 쓰려면 WETH로 토큰 컨트랙트를 따로 만들어줘야 됨 CELO는 아예 ERC-20 컨트랙트를 하나 파놓고 - 이걸 GoldToken 컨트랙트라 부른다컨트랙트에서 송금, 승인, 이체 등의 기능을 활용한다CELO 잔고는 실제로 ..

CodeQL- 깃헙에서 개발한 SAST임- 공개 저장소에는 무료로 제공한다고 함- 기업용(엔터프라이즈)에서는 Github Advanced Security(GHAS)라는 유료 패키지로 팔고 있음GHAS 테스트 라이선스를 받았거든- 돌리려면 러너가 필요- 러너에서 소스코드 분석을 수행함- 소스코드 분석 작업이 하드하다보니 별개의 독립된 빌드 러너를 두는 것이 좋다고 함- 그래서 빌드 전용 러너랑, code-scanning 러너를 각각 두는게 좋다고 함 (권장 사항) 근데 테스트 레포의 Runners 에 보면- 조직에서 쿠버네티스로 여러 러너들을 띄워놨음 - 공용 풀이라 걍 빌드하면 알아서 돌아간다고 함- 알아서 Idle 상태인거 하나 배정해서 돌아가고 - 전부 바쁘면 새로 파드를 띄운다고 함 → 이걸 ARC..