DVWA Brute Force Simulation-Meduim version

이번에는 Medium version입니다.

Easy와 똑같은 설정으로 공격을 진행하면 탈취 성공 가능합니다.

Length 5082이므로 anomaly detect

그런데 공격을 진행하면서 뭔가 속도가 느린 것 같다고 생각되지 않으신가요?

한 번 확인을 해보기 위해 터미널을 키고 cat /var/www/html/DVWA/vulnerabilities/brute/source/medium.php을 입력하여 Brute Force 'medium' 레벨의 소스 코드 파일 내용을 직접 출력합니다.

나온 결과를 보니 파란색으로 칠해진 sleep( 2 )가 보입니다. 'medium' 레벨에서는 의도적인 시간 지연(Throttling) 기능이 구현되어 있습니다. 로그인 시도에 실패할 때마다 서버 측에서 일정 시간(예: 1~2초) 동안 응답을 지연시킨 후 결과를 반환합니다. 이는 자동화된 무차별 대입 공격의 속도를 현저히 늦춰 공격을 비효율적으로 만들기 위한 기본적인 방어 메커니즘입니다.

 

따라서 아까 들었던 의문을 해소할 수 있습니다. 그러면 low level은 왜 빠르게 됐는지 살펴보면 sleep() 같은 기본적인 방어 기법이 없기 떄문이죠. 확인해 보겠습니다.

 

역시 sleep()같은 기본적인 방어 기법이 적용되지 않았습니다.

 

Medium Level도 해결!!