본문 바로가기
반응형

전체 글265

[OWASP 2017] A8 안전하지 않은 역직렬화 1. 개요 다소 어려운 공격이다. ​객체 및 데이터 구조 관련 공격, 일반적인 데이터 변조 공격이다. 직렬화는 RPC/IPC, 유선 프로토콜, 웹 서비스, 메시지 브로커, 캐싱/지속 연결, DB, 캐시 서버, 파일 시스템, HTTP 쿠키, HTML 양식 파라미터, API 인증 토큰에 사용된다. ​ 2. 영향 원격코드 실행 공격이 발생할 수 있다. ​ 3. 취약점 확인 1) 공격자가 애플리케이션 로직을 수정하거나 애플리케이션에 사용 가능한 클래스가 있는가? => 임의의 원격 코드 실행으로 역직렬화 중이나 이후에 동작을 변경할 수 있다. ​ ​4. 시나리오 1) 공격자가 자바 직렬 킬러 도구를 사용하여 애플리케이션 서버에서 원격 코드 실행을 얻을 수 있다. 2) PHP에서 super 쿠키 저장 후 공격자가 .. 2023. 1. 28.
[OWASP 2017] A7 크로스 사이트 스크립팅(XSS) 1. 개요 OWASP TOP10에서 두 번째로 많이 발생하는 문제. 응용프로그램의 약 2/3에서 발견된다. ​ 2. 영향 피해자의 브라우저에서 원격 코드를 실행하여 세션 정보를 훔치거나 피해자에게 악성코드를 전달한다. XSS 공격은 세션 도용, 계정 탈취, 다중 요소 인증 우회, 트로이 목마 악성코드 배포 로그인 패널과 같은 DOM 노드 대체 혹은 변조, 악성코드 다운로드, 키 로깅 사용자 브라우저에 대한 공격을 포함한다. ​ 3. 취약점 확인 1) 리플렉티드 XSS : 유효성이 확인되지 않고, 특수문자가 필터 되지 않았는가? 2) 저장 XSS : 다른 사용자 또는 관리자가 볼 수 있는 정제되지 않은 사용자 입력값이 저장되는가? 3) DOM 기반 XSS : 페이지에 공격자가 제어 가능한 데이터를 동적으로.. 2023. 1. 28.
울진 국립해양과학관과 바다마중길 울진에 방문할 일이 있어 찾게 된 국립해양과학관과 그 옆에 있는 바다마중길을 다녀왔다. 평일이라 사람은 별로 없었고 부분 개장 상태라 많이 둘러보지는 못했다. 과학관 아래쪽에는 넓은 놀이터가 준비되어 있다. 과학관과 연결되어 있는 바다마중길 끝에는 바닷속전망대가 있다. 393m에 이르며 바다 위를 걷는 듯해 산책 코스는 새로운 경험이다. 바닷속전망대는 수심 7m 아래로 엘리베이터를 타고 내려간다. 바다마중길 산책로는 상쾌한 바다를 느낄 수 있다. 2023. 1. 27.
[OWASP 2017] A6 잘못된 보안 구성 1. 개요 잘못된 보안 구성은 애플리케이션 스택의 모든 영역에서 발생할 수 있다. 자동화된 취약점 스캐너로 그런 사항을 찾는데 유용하게 사용된다. ​ 2. 영향 보안 설정이 미흡하게 유지되면 공격자가 인가되지 않은 시스템이나 기능에 접근할 기회를 얻을 수 있다. 이로 인해 시스템의 권한을 완전히 장악할 수도 있다. ​ 3. 취약점 확인 1) 보안 강화 절차가 누락되거나 클라우드 서비스 상에 권한 설정이 부적절한가? 2) 불필요한 기능이 활성화 되어있나? 3) 디폴트 계정, 비밀번호가 활성화되어 있거나 변경했는가? 4) 에러 처리 과정에서 노출되는 정보가 있는가? 5) 업그레이드 후 최신 보안 기능이 비활성화되어 있는가? 6) ​애플리케이션 서버, 프레임워크, 라이브러리, 데이터베이스 상에 보안 설정이 되.. 2023. 1. 27.
[OWASP 2017] A5 취약한 접근 통제 1. 개요 접근통제 절차를 무력화시키는 공격은 공격자들에게 요구되는 핵심 기술이다. SAST와 DAST로 접근통제 절차의 존재 여부는 탐지할 수 있으나 작동 여부는 검증할 수 없다. 자동화된 도구와 수동 점검을 해야 한다. ​ 2. 영향 공격자가 일반적인 사용자, 관리자, 권한 부여가 가능한 사용자 등으로 가장하여 행동할 수 있게 된다. ​접근통제 실패 시 인가되지 않은 정보 누출, 데이터 조작이나 파괴 등이 일어날 수 있다. 3. 취약점 확인 1) URL, HTML 조작, 맞춤형 API 공격툴로 접근통제를 우회할 수 있는가? 2) 다른 계정의 정보를 열람할 수 있는가? 3) 로그인하지 않고 활동이 가능하거나, 권한상승이 가능한가? 4) JSON 웹토큰(JWT)의 접근 통제 토큰 재전송이나 변경, 권한 .. 2023. 1. 27.
[OWASP 2017] A4 XML 외부 개체(XXE) 1. 개요 XML 업로드가 가능하고, XML 문서에 취약한 코드, 의존성, 통합을 공격하는 악의적인 내용을 포함할 수 있는 경우 발생할 수 있다. 오래된 XML 프로세서들에서 처리 시 참조되는 URI에 대해 외부 개체 지정을 허용하여 발생이 가능하다. SAST(정적분석)와 DAST(동적분석)로 공격이 가능한지 확인할 수 있다. XML 기반 웹 서비스나 다운스트림 사용 시 공격에 취약하다. ​ 2. 영향 데이터 가져오기, 원격 요청 실행, 내부 시스템 탐지, 서비스 거부 공격 등을 위해 사용할 수 있다.​ ​ 3. 취약점 확인 1) 애플리케이션이 직접 XML를 입력 받거나, 신뢰할 수 없는 곳의 XML을 업로드, 신뢰할 수 없는 데이터를 입력할 수 있는가? 2) SOAP(Simple Object Acces.. 2023. 1. 26.
728x90

티스토리툴바