11장 ) 취약성(2,3), 기타

Reference : 그림으로 배우는 Http&Network Basic

 

11.3 웹 서버의 설정이나 설계 미비로 인한 취약성

 

강제 브라우징(Forced Browsing)

• 고객 정보 등 중요 정보 누설
• 본래 액세스 권한이 있는 사용자에게만 표시하지 않는 정보 누설
• 어디에도 링크되지 않은 파일 누설

공개하고 싶지 않은 파일의 URL을 숨기는 보안 대책에 의존하고 있는 경우 해당 URL을 알게되면 파일을 열람할 수 있게 된다.

인증이 필요한 웹 페이지에서 이용되는 파일(HTML 파일이나 이미지, PDF 등의 문서, CSS, 기타 데이터 등)의 URL을 지정해서 직접 액세스 할 수 있다.

 

 

부적절한 에러 메시지 처리 (Error Handling Vulnerability)

• 공격자에게 유익한 정보가 웹 애플리케이션의 에러 메시지에 포함되는 취약성이다.
• 웹 애플리케이션에 의한 에러 메시지
• 데이터베이스 등의 시스템에 의한 에러 메시지
• 에러 메시지가 공격 힌트로 이용되지 않도록 하려면 각 시스템의 설정에 의한 상세한 에러 메시지를 제한하거나 커스텀 에러 메시지를 이용한다.

 

오픈 리다이렉트 (Open Redirect)

• 임의의 URL로 리다이렉트하는 기능이다.
• 리다이렉트 되는 곳의 URL에 악의가 있는 웹사이트가 지정된 경우 유저가 그 웹 사이트로 유도되는 취약성과 연결된다.
• 유저가 신뢰하고 있는 웹사이트에 오픈 리다이렉트의 기능이 있으면 공격자는 이것을 이용하여 피싱 사기 등을 할 가능성이 있다.

 

 

11.4 세션 관리 미비로 인한 취약성

 

세션 하이잭 (Session Hijack)

• 공격자가 어떠한 방법으로 유저의 세션 ID를 입수해서 악용하는 것으로, 유저로 위장하는 공격이다.
• 부적절한 생성 방법에 의한 세션 ID 추측
• 도청이나 XSS 등에 의한 세션 ID 도용
• 세션 고정 공격에 의한 세션 ID 강제

 

 

세션 픽세이션 (Session Fixation)

• 공격자가 지정한 세션 ID를 유저에게 강제적으로 사용하게 하는 공격으로 수동적 공격이다.
• 세션 고정 공격이라고도 부른다.
• 세션 어댑션(Session Adoption)은 PHP나 ASP.NET 등에 존재하는 미지의 세션 ID를 받아들이는 기능이다.
• 픽세이션의 준비 단계에 필요했던 웹 사이트에게 세션 ID를 발행받는 수고를 생략할 수 있다.

 

 

크로스 사이트 리퀘스트 포저리 (CSRF, Cross-Site Request Forgeries)

• 인증된 유저가 의도하지 않는 개인 정보나 설정 정보 등을 공격자가 설치해둔 함정에 의해 어떤 상태를 갱신하는 처리를 강제로 실행시키는 공격으로 수동적 공격이다.
• 인증된 유저의 권한으로 설정 정보 등을 갱신
• 인증된 유저의 권한으로 상품을 구입
• 인증된 유저의 권한으로 게시판에 글 작성

 

 

11.5 기타

 

패스워드 크래팅 (Password Cracking)

• 패스워드를 논리적으로 이끌어내서 인증을 돌파하는 공격이다.
• 네트워크 경유로 패스워드 시행
• 암호화된 패스워드를 해독
• SQL 인젝션으로 인증을 회피하거나 크로스 사이트 스크립팅 등으로 유저를 속여서 패스워드를 훔치는 방법이 있다.

 

무차별 대입 공격 (Brute-force Attack)

• 모든 키의 집합 키 공간, 즉 비밀번호 시스템에서 취할 수 있는 모든 패스워드 후보를 해서 인증을 돌파하는 공격.

 

사전 공격 (Dictionary Attack)

• 사전에 패스워드 후보를 준비해두고 그것을 시험해봄으로써 인증을 돌파하는 공격.

 

 

클릭 재킹 (Clikcjacking)

• 투명한 버튼이나 링크를 함정으로 사용할 웹 페이지에 심어두고, 유저에게 링크를 클릭하게 함으로써 의도하지 않은 콘텐츠에 엑세스 시키는 공격.
• UI Redressing이라고도 부른다.

 

 

DoS 공격 (Denial of Service)

• 서비스 제공을 정지상태로 만드는 공격
• 서비스 정지 공격 또는 서비스 거부 공격이라고 부른다.
• 액세스를 집중시킴으로써 부하를 걸어 리소스를 다 소비하게 해 사실상 서비스를 정지상태로 만든다.
• 취약성을 공격해 서비스를 정지시킨다.
• 여러대의 컴퓨터에서 실행하는 DoS공격을 DDoS 공격이라고 한다.

 

백도어 (Backdoor)

• 제한된 기능을 정규 절차를 밟지 않고 이용하기 위해 설치된 뒷문.
• 본래 정해진 제한을 초과한 기능을 이용하는 것이 가능하다.
• 개발 단계에 디버그용으로 추가한 백도어
• 개발자가 자기 자신의 이익을 위해서 추가한 백도어
• 공격자가 어더한 방법을 써서 설치한 백도어