다양한 웹 취약점

1. 프로세스 검증 누락

2. 불충분한 인가

3. 불충분한 인증

---

본격적인 내용에 들어가기에 앞서 '주요정보통신기반시설 기술적 취약점 분석 평가 방법 상세가이드'라는 제목의 pdf를 참고하는 것을 추천한다. 아래 [그림 1]은 해당 pdf의 웹 취약점에 대한 목차이다.

[그림 1] 주통기 가이드 웹 취약점 목차

 

1. 프로세스 검증 누락

프로세스 검증 누락은 웹 페이지의 중요 기능에서 클라이언트 측 검증과 서버 측 검증이 미흡할 때 발생한다.

- 회원가입 시 프로세스 검증누락으로 인해 중복 회원가입 가능

- 결제 값 조작, 포인트(마일리지) 조작을 통한 부당이득을 취할 수 있음

 

[프로세스 검증 누락 실습]

http://XXX.XXX.XXX.XXX:XXXX

- 취약한 비밀번호 등 랜덤한 정보로 회원가입

[그림 2] function checkIt() 다음 행에 join.submit() 삽입

Burp Suite를 이용하여 function checkIt() 다음 행에 join.submit()을 삽입한 후 Forward하여 취약한 패스워드로 로그인을 시도했더니 성공했다.

 

- 이벤트 페이지에서 마일리지(포인트) 조작 & 조작한 마일리지(포인트)로 상품구매 완료

사진 추가 필요

 

http://YYY.YYY.YYY.YYY:YYYY

Problem 1) 회원 포인트를 이용하여 상품을 구매하시오.

 

Problem 2) 휴대폰 간편결제 시스템의 결제 프로세스를 공략하여 상품 구매를 성사시켜라.

 

Problem 3) 휴대폰 간편결제 시스템의 결제 프로세스를 공략하여 상품 구매를 성사시켜라.

 

2. 불충분한 인가

불충분한 인가는 보안기능 결정 시 프로세스 검증누락으로 인해 권한이 필요한 페이지에 접근이 가능한 취약점을 말한다.

 

(1) 권한이 없는 사용자가 권한이 필요한 페이지 접근 시 단순 파라미터 조작으로 페이지 접근 가능

- 공지사항 게시글 열람 시 관리자 권한으로만 수정 또는 삭제가 가능한 페이지에 접근

- page=1&no=366&mode=view ==> page=1&no=366&mode=edit

 

(2) 인가된 사용자만 접근할 수 있는 페이지 요청 시 요청한 사용자의 권한 체크가 누락되어 접근 가능

- 인가된 사용자가 접근할 수 있는 페이지의 URL을 추측하여 직접접근 시 페이지가 열리는 경우

- 관리자 페이지 URL 중 사용자 권한 검증 기능이 누락된 경우 페이지가 열리는 것을 뜻함

 

3. 불충분한 인증

불충분한 인증은 중요 페이지 로그인, 중요 기능 실행 시 2차 인증 부재로 인해 쉽게 인증우회가 될 수 있다는 취약점이다.

- 관리자 로그인, 계좌이체 기능을 실행할 때 1차 인증만 사용할 경우 보다 쉽게 우회 가능

- 관리자 로그인 페이지, 계좌이체 기능 실행 시 인증정보 무작위 대입 공격을 통해 우회

- 2차 인증 수단: 멀티디바이스(ARS, SMS 등) 기반, 인증서 기반, OTP 등을 사용하여 공격자로 하여금 고려사항!

 

[불충분한 인가 및 인증 실습]

http://YYY.YYY.YYY.YYY:YYYY

Problem 6) 비밀 게시글 우회 열람

 

Problem 8) 관리자 계정과 비밀번호를 획득하여 인증키로 접근