정보보안 Study

■ 개요 - 웹 어플리케이션 운영 시 사용자 인증 방식 중 하나인 쿠키를 공격자가 변조하여 다른 사용자로 전환하거나 권한 상승이 가능한 취약점으로 클라이언트에 전달되는 쿠키에 사용자 식별 값이 평문으로 노출될 경우 쿠키 변조를 통해 다른 사용자의 유효한 세션 탈취등이 가능하다. - 웹 취약점 점검 과정에서 보통 테스트 계정을 두개 발급 후, 쿠키 재 사용 가능 여부를 체크 - 주요정보통신기반시설 취약점 진단 기준으로 28. 쿠키 변조에 해당 - OWASP TOP 10 2021 A01. Broken Access Control에 해당 ■ 쿠키 vs 세션 차이 □ 쿠키 정의 및 특징 쿠키(Cookie)란 인터넷 사용자가 어떠한 웹사이트를 방문할 경우 사용자의 웹 브라우저를 통해 인터넷 사용자의 컴퓨터나 다른 ..

■ 개요 - 개발 과정 또는 소스 코드를 수정하였을 경우 백업 파일, 로그 파일, 압축 파일, 테스트 파일과 같은 파일이 자동적으로 생성되어 웹 어플리케이션 상에 노출될 경우 공격자가 유추 후 직접 접근을 요청하여 핵심정보를 획득할 수 있는 취약점 - 웹 취약점 진단 과정에서 주로 Burp suite Pro, Owasp-zap, Dirbuster, Acunetix 등과 같은 자동화 도구를 사용하여 점검 진행 - 주요정보통신기반시설 취약점 진단 기준으로 26. 위치 공개에 해당 - OWASP TOP 10 2021 A01. Broken Access Control에 해당 ■ 위치 공개 CheckList - 웹 루트 디렉토리 내 웹 서비스에 불필요한 확장자(.bak, .backup, .org, .old, .zi..

■ 개요 - 웹 어플리케이션에서 정상적인 경로를 통한 요청과 비정상적인 경로를 통한 요청을 서버가 구분하지 못할 경우 공격자가 스크립트 구문을 이용하여 정상적인 사용자로 하여금 조작된 요청을 전송 하도록 하여 사용자가 의도하지 않은 악의적인 행위(ex, 게시판 설정 변경 및 자동 댓글, 회원등급 변경 등)가 수행될 수 있는 취약점 - XSS는 클라이언트를 공격하는 것이 주 목표이지만, CSRF는 서버측을 공격하는 것이 주 목표 - XSS는 인증된 세션 없이 공격을 진행하지만, CSRF는 인증된 세션을 악용하는 방법을 주로 사용한다. - 주요정보통신기반시설 취약점 진단 기준으로 15. 크로스사이트 리퀘스트 변조에 해당 - OWASP TOP 10 2021 A01. Broken Access Control에 해..

■ 개요 - 서버 측에서 실행 가능한 스크립트 파일(asp, jsp, php 등)이 업로드 가능하고 이 파일을 공격자가 웹을 통해 직접 실행시킬 수 있는 경우, 시스템 내부 명령어를 실행하거나 외부와 연결해 시스템을 제어 등을 할 수 있는 공격 - 공격자가 내부 시스템 침투를 하기 위해 자주 사용하는 공격 기법 중 하나로, 파일 업로드 취약점이 존재할 경우 보안상 크리티컬한 문제를 야기할 수 있다. - 주요정보통신기반시설 취약점 진단 기준으로 22. 파일 업로드에 해당 ■ 파일 업로드 취약점 시나리오 - 파일 업로드 기능이 존재하는 에디터 혹은 페이지가 있는가? - 업로드한 파일의 절대 경로를 확인할 수 있는가? - 업로드한 파일이 실행이 가능한가? - 확장자를 변조하여 파일 업로드가 가능한가? - 확장..

■ 개요 - 중요 기능 또는 데이터에 접근시 사용자 권한에 따른 접근 통제를 두지 않아 공격자는 이를 이용하여 관리자 권한 획득 또는 일반 사용자가 접속할 수 없는 페이지에 접근할 수 있는 취약점 - OWASP TOP 10 2021에서는 A01(Broken Access Control)에 해당 - 주요정보통신기반시설 취약점 진단 기준으로 17. 불충분한 인가에 해당 ■ 불충분한 인가 시나리오 - 관리자만 접근 가능한 페이지에 접근이 가능한가? - 유료 컨텐츠에 대한 접근이 가능한가? - 쿠키 세션을 변조하여 권한 상승 여부 가능한가 ■ 사전 지식 □ 불충분한 인가, 불충분한 인증 차이 - https://sheow13.tistory.com/39 불충분한 인증 취약점_1  개요 - 중요정보 페이지에 대한 인..

■ 개요 - 파일 다운로드 기능이 존재하는 웹 어플리케이션에서 파일 다운로드 시 파일의 경로 및 파일명을 파라미터로 받아 처리하는 경우 파일에 대한 접근 권한이 설정되어 있지 않다면 공격자가 파라미터를 조작하여 환경설정 파일, 웹 소스코드 파일, 데이터베이스 연동 파일 등을 다운 받을 수 있는 취약점. - Directory Traversal 취약점, 파일 다운로드 취약점이라고 불리며, LFI(Local File Include)라고도 표현 - 해당 취약점이 존재할 경우 공격자는 이를 통해 시스템 중요 정보(계정 정보, 데이터베이스 정보)등을 탈취하여 시스템 침투에 중요한 정보를 줄 수 있다. - 주요정보통신기반시설 취약점 진단 기준으로 23. 파일 다운로드, 25. 경로 추적에 해당 - OWASP TOP ..

■ 개요 - 사용자 요청에 의해 검증되지 않은 외부 입력 데이터(부적절한 스크립트)가 포함된 동적 웹페이지가 생성·전송되는 경우, 사용자가 해당 동적 웹페이지를 열람함으로써 웹 페이지에 포함된 부적절한 스크립트가 실행되는 공격 - 이를 통해 사용자 정보유출(계좌번호, 계정, 패스워드 등) 또는 악성코드 유포 등의 공격을 할 수 있다. - 주요정보통신기반시설 취약점 진단 기준으로 11. Cross-Site Scripting(XSS)에 해당 - OWASP TOP 10 2017에서는 A07(XSS)로 따로 기재되었으나, TOP 2021에서는 Injection에 포함. - 현재까지도 많이 발생하는 취약점 중 하나 ■ 사전 지식 □ 크로스사이트 스크립팅란? - 크로스사이트 스크립팅(XSS)이란, Cross('서로..

■ 개요 - 중요정보 페이지에 대한 인증 절차가 불충분하여 권한이 없는 사용자가 중요정보 페이지에 접근하여 정보를 유출하거나 변조 등을 할 수 있는 취약점 - 이를 통해 디페이스(Deface) 공격, 상품 결제 금액 조작, 관리자 권한 악용 등을 할 수 있다. - OWASP TOP 10 2021에서는 A07(Identification and Authentication Failures)에 해당 - 주요정보통신기반시설 취약점 진단 기준으로 13. 불충분한 인증에 해당 ■ 불충분한 인증 시나리오 - 다른 사용자 게시물 수정 및 삭제 등이 가능한가? - 다른 사용자 개인정보 수정 페이지에 접근 가능한가? - 클라이언트에서 동작하는 자바스크립트를 우회하여 현재 권한으로 할 수 없는 업무를 수행할 수 있는가? - ..

■ 개요 - 웹 어플리케이션의 민감한 정보가 개발자의 부주의로 인해 노출되는 것으로 중요 정보(관리자 계정 및 테스트 계정 등)가 노출되거나 에러 발생 시 과도한 정보(애플리케이션 정보, DB 정보, 웹 서버 구성 정보 등)가 노출될 경우 공격자들의 2차 공격을 위한 정보로 활용될 수 있는 취약점 - 웹 취약점 진단 과정에서 소스 코드 및 점검 도구를 통해 중요 정보 또는 에러 메시지 내 정보 누출 여부를 파악 ■ 정보 누출 체크리스트 ① 에러 페이지 내 버전 정보 또는 실제 경로 노출 여부 확인 ② 웹 이용에 필요한 메소드(GET, POST)를 제외한 다른 메소드 사용 가능 여부 확인 ③ 홈페이지 내 주민등록번호, 연락처 등 민감한 정보가 노출되는지 여부 확인 ④ 소스 코드 또는 점검 페이지 내 인프라..

■ 개요 - XML(eXtensible Markup Language)은 W3C에서 개발된, 다른 특수한 목적을 갖는 마크업 언어를 만드는데 사용하도록 권장하는 다목적 마크업 언어로, 텍스트 기반이며 간결한 데이터형이다. - XML은 데이터를 트리 구조의 노드로 표현을 하며, 사용자 정의로 데이터를 분류를 진행한다. - 사용자의 입력한 값을 서버에서 검증하지 않을 경우, 공격자는 이를 이용하여 쿼리문의 의미를 왜곡시키거나 그 구조를 변경하고 임의의 쿼리를 실행하여 인가되지 않은 데이터를 열람할 수 있는 공격 - 주요정보통신기반시설 웹 취약점 진단 기준으로 07. XPath 인젝션에 해당 ■ 사전 지식 □ Xpath란? - Xpath는 XML문장 속의 요소, 속성 등을 지정하기 위한 언어로서, Xpath에는..