솜이의 데브로그

Reference : 그림으로 배우는 Http&Network Basic 11.3 웹 서버의 설정이나 설계 미비로 인한 취약성 강제 브라우징(Forced Browsing) 고객 정보 등 중요 정보 누설 본래 액세스 권한이 있는 사용자에게만 표시하지 않는 정보 누설 어디에도 링크되지 않은 파일 누설 공개하고 싶지 않은 파일의 URL을 숨기는 보안 대책에 의존하고 있는 경우 해당 URL을 알게되면 파일을 열람할 수 있게 된다. 인증이 필요한 웹 페이지에서 이용되는 파일(HTML 파일이나 이미지, PDF 등의 문서, CSS, 기타 데이터 등)의 URL을 지정해서 직접 액세스 할 수 있다. 부적절한 에러 메시지 처리 (Error Handling Vulnerability) 공격자에게 유익한 정보가 웹 애플리케이션의..

Reference : 그림으로 배우는 Http&Network Basic 11.1 웹 공격 기술 HTTP 자체는 보안 상의 문제가 일어날 정도로 복잡하지는 않으므로, 공격대상은 서버와 클라이언트 그리고 서버상에서 동작하는 웹 애플리케이션 등의 리소스이다. HTTP에는 보안 기능이 없다 현재의 웹사이트 대부분은 인증, 세션 관리, 암호화 등의 보안기능이 필요하다. 따라서 웹 애플리케이션에서 인증이나 세션 관리 기능을 개발자가 설계하고 구현해야한다. 웹 애플리케이션에 대한 공격은 HTTP 리퀘스트 메시지에 공격코드를 실어서 실행된다. 웹 애플리케이션에 대한 공격 패턴 서버를 노리는 능동적 공격 공격자가 직접 웹 애플리케이션에 액세스해서 공격 코드를 보내는 타입의 공격. 서버 상의 리소스에 대해 직접 실행되기 ..

Reference : 그림으로 배우는 Http & Network Basic 10장 ) 웹 콘텐츠에서 사용하는 기술 1. HTML HTML(HyperText Markup Language)은 웹 상에서 하이퍼텍스트를 보내기 위해 개발된 언어. 문서 중에 임의의 장소 정보가 다른 정보에 관련된, 즉 링크되어 있는 문서. 마크 업 언어 : 문서의 일부에 특별한 문자열을 붙임. → HTML 태그 HTML로 쓰여진 문서를 브라우저가 해석해서 렌더링 처리를 한 결과가 웹페이지에 표시된다. 디자인을 적용하는 CSS CSS (Cascading Style Sheets)는 HTML 각 요소를 어떻게 표시할지를 지시한다. Ex) .logo{ padding:20px; text-align:center; }​ ".logo"라는 셀..

Reference : 그림으로 배우는 Http&Network Basic 9장 ) HTTP에 기능을 추가한 프로토콜 HTTP의 병목 현상을 해소하는 SPDY 갱신된 정보를 가능한 빨리 실시간으로 표시하기 위해서는 서버상의 정보가 갱신되었을 때, 그것을 클라이언트의 화면에 반영해야한다. 현재 웹에 요구되고 있는 사용 방법으로는 다음 병목 현상들이 된다. 1개의 커넥션으로 1개의 리퀘스트만 보낼 수 있다. 리퀘스트는 클라이언트에서만 시작할 수 있다. 리스폰스만 받는 것은 불가능 리퀘스트/리스폰스 헤더를 압축하지 않은 채로 보낸다. 헤더의 정보가 많을수록 지연이 심해진다. 장황한 헤더를 보낸다. 매번 같은 헤더를 보내는 것은 낭비 데이터 압축을 임의로 선택할 수 있다. 해결방법 -Ajax JavaScript나 ..

Reference : 그림으로 배우는 Http&Network Basic 8. 누가 액세스하고 있는지를 확인하는 인증 시스템에 액세스하는 권한을 가진 사람에게만 허용하는 인증을 수행하기 위해 '등록된 본인만이 알고 있는 정보' 또는 '등록한 본인만이 가지고 있는 정보' 등으로 확인해야 한다. password : 본인만이 알고 있는 문자열 정보 Onetime Token : 본인만이 가지고 있는 기기 등에 표시되는 한 번 쓰고 버리는 패스워드 등의 정보 전자 증명서 : 본인만이 가지고 있는 정보 바이오 매트릭스 : 지문이나 홍채 등 본인의 신체 정보 IC 카드 등 : 본인만이 가지고 있는 정보 HTTP에서 사용하는 인증 방법 BASIC 인증 DIGEST 인증 SSL 클라이언트 인증 폼 베이스 인증 BASIC ..

Reference : 그림으로 배우는 Http&Network Basic 7. 웹을 안전하게 지켜주는 HTTPS 1) HTTP의 약점 평문 통신이기 때문에 도청 가능하다. HTTP를 사용한 리퀘스트나 리스폰스 통신 내용은 암호화기능이 없기 때문에 평문으로 메시지를 보낸다. TCP/IP 구조의 통신 내용은 도청이 가능한 네트워크이다. 따라서 통신 내용을 엿볼 수 있어 암호화된 메시지 자체도 엿볼 수 있다. Wireshark를 이용하면 쉽게 HTTP 리퀘스트와 리스폰스 내용 취득, 해석 가능. 따라서 암호화를 통해 도청으로부터 정보를 지킨다. 통신 암호화. SSL 또는 TLS 프로토콜을 사용해 HTTP 통신 내용을 암호화한다. SSL을 통해 안전한 통신로 확립 후, 그 통신로를 통해 HTTP 통신 한다. SS..

Reference : 모두의 네트워크 9. 무선 랜 이해하기 무선 랜의 구조 무선 랜은 랜 케이블을 사용하지 않고 눈에 보이지 않는 전파를 이용하여 컴퓨터를 연결한다. 유선 랜에 비해 통신 내용이 해킹될 위험이 높다. 따라서 반드시 암호화나 인증 설정을 해야한다. 무선 액세스 포인트와 무선 클라이언트로 구성 무선 액세스 포인트와 통신하기 위해서는 무선 랜 침과 무선 랜 어댑터가 필요하다. 랜 어댑터 : USB 메모리 방식, 컴퓨터 카드 방식 무선 공유기에 액세스 포인트 기능이 포함 무선 랜을 연결하는 방식 Infrastructure 무선 액세스 포인트를 통해 통신. 무선 공유기를 중심으로 접속 주로 사용하는 방식 Ad Hoc 무선 클라이언트끼리 직접 통신 무선 랜은 IEEE802.11 규격을 준수하는 기..

Reference : 그림으로 배우는 Http&Network Basic 6.7 쿠키를 위한 헤더 필드 쿠키는 서버와 클라이언트 간의 상태를 관리한다. 웹사이트가 유저의 상태를 관리하기 위해 웹 브라우저 경유로 유저의 컴퓨터 상에 일시적으로 데이터를 기록, 다음 유저가 웹 사이트에 액세스 했을 때 지난번에 발행한 쿠키를 송신받는다. 쿠키 호출 시 쿠키의 유효기한과 송신지의 도메인, 경로, 프로토콜 등을 체크. 쿠키를 위한 헤더 필드 Set-Cookie : 상태 관리 개시를 위한 쿠키 정보, 헤더 종별-리스폰스 Cookie : 서버에서 수신한 쿠키 종별, 헤더 종별-리퀘스트 Set-Cookie 서버가 클라이언트에 대해서 상태 관리를 시작할 때 다양한 정보를 전달한다. ex) NAME, Expires, Pat..