분류 전체보기

이번 글에서는 웹 취약점 중 하나인 전송 시 주요 정보 노출 취약점에 대해 알아보고 어떻게 대응 해야하는지 알아보도록 하겠습니다. 전송 시 주요 정보 노출 취약점이란? 웹 서버가 보안과 관련된 민감한 데이터를 평문으로 통신 채널을 통해 송/수신 할 경우, 공격자가 통신 채널 스니핑을 통해 민감한 데이터(계정 정보, 개인 정보 등)가 노출될 수 있는 취약점을 의미한다. 이로 인해 노출된 정보를 공격자가 악용하여 이후 사회 공학 공격 등에 이용하여 추가적인 2차 피해를 발생시킬 수 있는 취약점이다. 전송 시 주요 정보 노출 취약점 예시 구글링을 통해 관리자 페이지를 검색한 것 중 http 통신을 하는 웹 페이지를 찾아 로그인을 시도하고 와이어샤크를 통해 패킷을 캡쳐한 모습입니다. 와이어 샤크에 체크된 곳을 ..

이번 글에서는 여러 웹 취약점들 중 하나인 실명 인증 취약점이 무엇인지 알아보고, 해당 취약점에 어떻게 대응 해야 하는지 알아보도록 하겠습니다. 실명 인증 취약점이란 ? 사진에 보이는 것과 같이 사용자 본인 확인 과정 상에서 취약한 프로그램을 악용해 사용자 정보를 변조할 수 있는 취약점을 의미합니다. 해당 취약점이 존재할 경우 관리자로 위장하여 개인 정보를 수집하는 등 사회 공학 공격 등에 노출될 수도 있고, 또는 홈페이지 가입 시 제공하는 포인트 등을 악용하는 등의 공격이 발생할 수 있는 취약점입니다. 실명 인증 취약점 대응 방안 중요한 정보가 있는 웹 페이지는 재 인증 적용하고 안전하다고 확인된 라이브러리 또는 프레임워크를 사용하여 웹 개발을 한다. 서버 측에서 사용자로부터 입력받은 데이터의 유효성을..

이번 글에서는 계정 관리 취약점에 대해 알아보고 해당 취약점에 대응하기 위해서는 어떻게 해야하는지 알아보도록 하겠습니다. 계정 관리 취약점이란? 회원 가입 시 안전한 패스워드 규칙이 적용되지 않아 취약한 패스워드를 사용하여 회원 가입이 가능할 경우 무차별 대입 공격(Brute Force)을 통해 패스워드가 노출될 수 있는 취약점 취약한 계정 사용으로 인해 추측이 가능한 사용자 계정이 이용이 가능한 취약점 ex ) 관리자 계정을 사용하는데 ID가 admin, root, master 등과 같이 추측 가능한 ID를 사용하는 경우 계정 관리 취약점 대응 방안 사용자가 취약한 패스워드를 사용할 수 없도록 패스워드 생성 규칙을 강제할 수 있는 로직을 적용시킨다. ex ) 사진과 같이 8글자 이상 숫자, 영문, 특수..

이번 시간에는 웹 취약점 중 하나인 취약한 파일 존재 취약점에 대해 알아보고 해당 취약점에 대응하기 위해서는 어떻게 해야하는지 알아보도록 하겠습니다. 취약한 파일 존재 취약점이란? 웹 루트 하위에 내부 문서 또는 백업 파일, 로그 파일, 압축 파일 등과 같이 불필요한 파일들이 존재할 경우 사진에서 보이는 것과 같이 파일명을 유추하여 파일명을 알아내고 직접 요청하여 여러 정보가 노출 될 수 있는 취약점 해당 취약점이 존재할 경우 백업 및 임시 파일을 공격자가 획득하고 분석해 웹 애플리케이션 내부 로직 또는 DB정보, 액세스 정보 등을 획득하여 추가적인 피해를 발생시킬 수 있는 취약점이다. 취약한 파일 존재 취약점 대응 방안 웹 서버는 개발 환경과 운영 환경을 분리하고 운영 환경에서는 소스 코드 수정 및 테..

이번 시간에는 웹 취약점 네 번째 시간으로 불필요한 Method 허용 취약점에 대해 알아보고 이로 인해 발생할 수 있는 문제점과 이를 해결하기 위한 대응 방안에 대해 알아보도록 하겠습니다. 불필요한 Method 허용 취약점이란? HTTP 프로토콜의 경우 클라이언트가 서버에 요청의 목적을 알리기 위해 Method 라는 수단을 사용하여 서버에 목적을 알리게 되는데 목적에 따라서 GET, POST, HEAD, PUT, DELETE, OPTIONS, TRACE 등으로 분류되고 사용되어진다. 위 메소드들 중 몇몇 종류는 비인가된 사용자가 사용할 수 있을 경우 문제가 발생할 수 있습니다. 대표적으로 PUT, DELELE, TRACE 가 있습니다. PUT 메소드와 DELETE 메소드의 경우 임의로 서버 내 파일 생성..