정보보안 Study

■ 개요 - 어플리케이션 운영 시 특정 프로세스에 대한 접근시도 횟수 제한을 설정하지 않을 경우, 공격자가 자동화 툴 및 봇을 활용하여 일분에 수 백번의 접근을 시도할 수 있으며 특정 프로세스를 반복 수행함으로써 자동으로 수많은 프로세스(DoS, 무차별 대입 기법 등)가 진행되어 시스템 성능에 영향을 미칠 수 있는 공격 - 점검 시 웹 프록스 도구인 Burp Suite에서 Repeater 기능 등을 통해 주로 점검 - 주요정보통신기반시설 취약점 진단 기준으로 20. 자동화 공격에 해당 ■ 자동화 공격 점검 CheckList - Burp Suite Repeater, OWASP-ZAP Fuzz 등 자동화 도구등을 통해 다수의 게시글을 작성할 수 있는가? - CAPTCHA 설정이 되어 있을 경우, 이를 우회하..

■ 개요 - 웹 어플리케이션에서 사용자가 로그인을 할 경우 매번 동일한 세션 ID(일정한 패턴이 존재)를 발급하거나 세션 타임아웃을 길게 설정하였을 경우 공격자가 다른 사용자의 재사용하여 해당 사용자의 권한을 탈취할 수 있는 취약점 - 주요정보통신기반시설 취약점 진단 기준으로 18. 불충분한 세션 만료에 해당 ■ 관리자 페이지 노출 관련 법적 관련 사항 □ 개인정보 기술적 관리적 보호조치 기준(제 4조 접근통제 10항) ⑩ 정보통신서비스 제공자등은 개인정보처리시스템에 대한 개인정보취급자의 접속이 필요한 시간동안만 최대 접속시간 제한 등의 조치를 취하여야 한다. □ 개인정보의 안전성 확보조치 기준(제6조 접근 권한 5항) ⑤ 개인정보처리자는 개인정보처리시스템에 대한 불법적인 접근 및 침해사고 방지를 위하여..

■ 개요 - 사용자에게 전달하는 세션 ID가 일정한 패턴을 가지고 있거나 고정값으로 설정할 경우, 공격자가 세션 ID를 추측 및 접근하여 계정 정보를 몰라도 관리자 계정으로 접근 가능한 취약점 - 로그아웃 후 재 로그인 시 생성되는 세션 ID가 일정한 패턴으로 생성되는지 추측 불가능한 세션 ID로 발급되는지 체크 - 주요정보통신기반시설 취약점 진단 기준으로 16. 세션 예측 취약점에 해당 ■ 세션 vs 쿠키 차이 - 세션과 쿠키의 개념 및 차이점은 하기 링크 참조 https://sheow13.tistory.com/48 28. 쿠키 변조 취약점 ■ 개요 - 웹 어플리케이션 운영 시 사용자 인증 방식 중 하나인 쿠키를 공격자가 변조하여 다른 사용자로 전환하거나 권한 상승이 가능한 취약점으로 클라이언트에 전달..

■ 개요 - C언어로 만드는 프로그램 중 변수의 값을 출력하거나 입력받을 때 입력받은 값을 조작하여 프로그램의 메모리 위치를 반환받아 메모리 주소를 변조하거나 시스템의 관리자 권한을 획득할 수 있는 취약점 - 해당 취약점은 웹 보다는 시스템 취약점에 가까운 취약점으로 웹에서는 에러 또는 이상 반응 유무를 통해 해당 취약점이 있는지 여부를 체크 - 주요정보통신기반시설 취약점 진단 기준으로 02. 포맷 스트링 취약점에 해당 ■ 포맷 스트링 취약점이란? □ 포맷 스트링(Format String) : 사용하는 함수에 대해 어떤 형식 또는 형태를 지정해주는 문자열 포맷스트링 종류 %d : Decimal의 약자로 10진수 정수를 부호 있게 출력 %u : Unsigned의 약자로 부호 없는 10진수 정수를 출력 %o..

■ 개요 - 웹 어플리케이션의 전반적인 기능 설정 및 회원 관리를 할 수 있는 관리자페이지가 추측 가능한 형태로 구성되어 있을 경우 공격자가 관리자페이지에 쉽게 접근을 할 수 있으며 무차별 대입 공격을 통하여 관리자 권한을 획득할 수 있는 취약점 - 웹 취약점 진단 과정에서 보통 Burp Suite Pro, Owasp-zap, Dirbuster, Acunetix 등과 같은 자동화 도구를 사용하여 점검 진행 - 주요정보통신기반시설 웹 취약점 진단 기준으로 24. 관리자 페이지 노출 취약점에 해당 - OWASP TOP 10 2021 A05. Security Misconfiguration에 해당 ■ 관리자 페이지 Cheat Sheet 예 시 /admin /manager /masterpage /administr..

■ 개요 - 웹 어플리케이션에 존재하는 비밀번호 찾기 기능 또는 관리자에 의한 임시 비밀번호 발급 시 사용자 인증이 미흡하거나 비밀번호를 화면에 즉시 출력할 경우 공격자가 불법적으로 다른 사용자의 비밀번호를 획득, 변경, 복구 할 수 있는 취약점 - 주요정보통신기반시설 웹 취약점 진단 기준으로 14. 취약한 패스워드 복구 취약점에 해당 ■ 취약한 패스워드 복구 CheckList - 비밀번호 복구 시, 비밀번호가 화면에 바로 출력이 되는가? - 비밀번호 복구 과정에서 인증 절차가 미흡하여 발급된 임시 비밀번호가 공격자쪽으로 전달이 되는가? ■ 실습 환경 -PortSwigger Web Academy ■ 파일 업로드 실습1 Step 1) PortSwigger web academy Lab 목표가 취약한 패스워드..

■ 개요 - 웹 어플리케이션에서 회원가입 시 안전한 패스워드 규칙이 적용되지 않아 취약한 패스워드로 회원가입이 가능할 경우 공격자가 추측을 통한 대입 및 주변 정보를 수집하여 작성한 사전(directory) 파일을 통한 대입을 시도하여 사용자의 패스워드를 추출할 수 있는 취약점 - 패스워드 크랙 도구인 hydra, john 등을 사용하여 계정을 탈취할 수 있는지 확인 또는 계정 잠금 임계값이 설정 유무 등을 파악 - 주요정보통신기반시설 웹 취약점 진단 기준으로 12. 약한 문자열 강도 취약점에 해당 ■ 비밀번호 공격 방법 - 사전 공격(Directory Attack) : 자주 사용되는 단어를 비밀번호에 대입하는 공격 방법 - 무작위 대입공격(Brute Force) : 가능한 한 모든 값을 비밀번호에 대입..

■ 개요 - 웹 어플리케이션을 사용하고 있는 서버의 미흡한 설정으로 인해 인덱싱 기능이 활성화가 되어있을 경우, 공격자가 강제 브라우징을 통해 서버내의 모든 디렉터리 및 파일에 대해 인덱싱이 가능하고 웹 어플리케이션 및 서버의 주요 정보가 노출될 수 있는 취약점 - 디렉토리 인덱싱 취약점 또는 디렉토리 리스팅 취약점으로 표현 - 웹 취약점 진단 과정에서 보통 Burp Suite Pro, Owasp-zap, Dirbuster, Acunetix 등과 같은 자동화 도구를 사용하여 점검 진행 - 주요정보통신기반시설 웹 취약점 진단 기준으로 08. 디렉토리 인덱싱 취약점에 해당 - OWASP TOP 10 2021 A05. Security Misconfiguration에 해당 ■ 디렉토리 인덱싱 Cheat Shee..

■ 개요 - 응용 프로그램이 사용자 입력 값에 대한 적절한 필터링 및 유효성 검증을 하지 않아 공격자는 로컬 프록시를 사용함으로 LDAP 문의 변조가 가능하며, 공격 성공 시 승인되지 않은 쿼리에 권한을 부여하고, LDAP 트리 내의 내용 수정이나 임의의 명령 실행등이 가능한 취약점 - 해당 공격을 통해 로그인 인증 우회, 권한 관리 우회, 정보 공개 등을 목적으로 진행 - 주요정보통신기반시설 취약점 진단 기준으로 03. LDAP 인젝션에 해당 ■ LDAP란? - LDAP(Lightweight Directory Access Protocol)은 사용자가 조직, 구성원 등에 대한 데이터를 찾는 데 도움이 되는 프로토콜로, LDAP는 LDAP 디렉터리에 데이터를 저장하고 사용자가 디렉터리에 액세스할 수 있도록..

■ 개요 - 로그인 또는 실명인증 시 민감한 데이터(개인 식별정보, 계정정보 등)가 평문으로 통신 채널을 통해 송수신 될 경우 공격자가 감청(스니핑)을 통해 민감한 데이터를 획득할 수 있는 취약점 - 주요정보통신기반시설 취약점 진단 기준으로 27. 데이터 평문 전송에 해당 - 데이터가 평문으로 전송될 경우 중간자 공격(MITM:Man In The Middle)에 의해 중요 정보를 노출 또는 변조 등이 될 수 있다. - OWASP TOP 10 2021 A02. Cryptographic Failures에 해당 ■ 데이터 평문 전송 CheckList - 개인정보(주민등록번호, 여권번호 등)가 평문 전송되는가? - 금융정보(카드번호, 계좌번호 등)가 평문 전송되는가? - 패스워드가 평문 전송되는가? - 취약한 ..