정보통신기반시설 취약점 분석 (4)

 

1.   크로스사이트 스크립팅

보안위험: 웹 어플리케이션에서 사용자 입력 값에 대한 필터링이 제대로 이뤄지지 않을 경우,

공격자가 웹 사이트 게시판, URL 등에 악의적인 스크립트(javascript, VB script, ActiveX, Flash 등)를 

삽입하여 게시글이나 메일을 읽는 사용자의 쿠키(세션)를 도용하거나 악성코드(URL 리다이렉트)를 유포할 수 있 음

점검방법: HTML 지원 게시판, Referrer 를 이용한 페이지, 사용자가 입력한 내용을 출력하는 페이지, Search

Page, Join From Page 등에서

스크립트 코드 입력 -> 저장 -> 동작되는지 확인(게시판,URL)

대응방법: 게시글에 HTML 태그 활용 제한, 입력 값 필터링 구현 (<sript> , <object> , <form> , < , > , " , ' , $ , % 등등)

 

2. 약한 문자열 강도

보안위험: 공격자가 계정 및 패스워드 유추 가능함 점검방법: 기본 계정 및 패스워드 입력후 로그인 확인

대응방법: 패스워드 규칙 지정 및 운영 , 영소, 영대, 특수문자, 숫자 중 최소 2 종류 이상 10 자리, 최소 3 종류 이상 8 자리 이상 길이 구성

 

3. 불충분한 인증

보안위험: 권한이 없는 사용자가 중요 정보 페이지에 접근하여 정보 유출하거나 변조 가능 점검방법: 중요 정보 페이지 접근 전에 재인증 여부 확인

대응방법: 중요 정보 페이시 접근시 재인증 로직 추가 및 Server 단에서 최종 검증 진행

 

4. 크로스사이트 리퀘스트 변조 (CSRF)

보안위험: 사용자의 신뢰(인증) 정보 내에서 사용자의 요청(Request)을 변조하여 해당 사용자의 권한을 악용함 점검방법: XSS 취약점 존재 화인, 악성스크립트 저장후 열람시 열람한 사용자의 권한으로 특정 수행이 가능한지 확인

대응방법: 사용자 입력 값 검증, 정상적인 요청 구분을 위한 토큰 사용, XSS 조치

 

5. 세션 예측 , 세션 고정

보안위험: 세션에 일정 패턴이 있을 경우 공격자가 이를 추측하여 불법적인 접근 시도 가능 점검방법: 각각 IP 접근 로그인후 세션 ID 확인 일정 패턴이 있는지 조사 대응방법: 로그인시 마다 추측 할 수 없는 새로운 세션 ID를 발급

 

6. 불충분한 인가 및 세션 만료

대응방법: URL 파라미터 조작시 사용자 인증, 자동 로그아웃 기능 구현

 

7. 자동화 공격

대응방법: 캡차 CAPTCHA , IDS/IPS 활용

 

8. 경로 추적

보안위험: 공격자가 URL 조작으로 임의 경로, 상위 경로 이동 가능하여 악용

점검방법: URL 조작시 ../../ 등을 이용하요 상위 디렉터리 이동 가능한지 확인 (인코딩시 . : (%2e) , / (%2f) ,

\ (%5c))

대응방법: chroot 환경 적용, 부모 경로 사용 체크 해제, 입력 값 특수문자 필터링 

 

9. 쿠키 변조

대응방법: Sever Side Session 사용, 쿠키 사용시 안전한 알고리즘 적용

 

10. 데이터 평문 전송

대응방법: SSL 암호화 통신 사용

 

11. 관리자 페이지 노출

대응방법: 유추 가능한 이름 사용 X, 특정 IP 만 접근 가능하도록 설정, 기본 포트 사용 X

 

12. 파일 업다운로드 취약점

대응방법: 실행파일 확장자 필터링, 인자 값에 상대경로, 상위 경로 지정 문자 필터링, 확장자 화이트리스트, 특수문자 필터링, 업로드 경로 실행 권한 제거