반응형 Security/정보보안기사23 [OWASP 2017] A7 크로스 사이트 스크립팅(XSS) 1. 개요 OWASP TOP10에서 두 번째로 많이 발생하는 문제. 응용프로그램의 약 2/3에서 발견된다. 2. 영향 피해자의 브라우저에서 원격 코드를 실행하여 세션 정보를 훔치거나 피해자에게 악성코드를 전달한다. XSS 공격은 세션 도용, 계정 탈취, 다중 요소 인증 우회, 트로이 목마 악성코드 배포 로그인 패널과 같은 DOM 노드 대체 혹은 변조, 악성코드 다운로드, 키 로깅 사용자 브라우저에 대한 공격을 포함한다. 3. 취약점 확인 1) 리플렉티드 XSS : 유효성이 확인되지 않고, 특수문자가 필터 되지 않았는가? 2) 저장 XSS : 다른 사용자 또는 관리자가 볼 수 있는 정제되지 않은 사용자 입력값이 저장되는가? 3) DOM 기반 XSS : 페이지에 공격자가 제어 가능한 데이터를 동적으로.. 2023. 1. 28. [OWASP 2017] A6 잘못된 보안 구성 1. 개요 잘못된 보안 구성은 애플리케이션 스택의 모든 영역에서 발생할 수 있다. 자동화된 취약점 스캐너로 그런 사항을 찾는데 유용하게 사용된다. 2. 영향 보안 설정이 미흡하게 유지되면 공격자가 인가되지 않은 시스템이나 기능에 접근할 기회를 얻을 수 있다. 이로 인해 시스템의 권한을 완전히 장악할 수도 있다. 3. 취약점 확인 1) 보안 강화 절차가 누락되거나 클라우드 서비스 상에 권한 설정이 부적절한가? 2) 불필요한 기능이 활성화 되어있나? 3) 디폴트 계정, 비밀번호가 활성화되어 있거나 변경했는가? 4) 에러 처리 과정에서 노출되는 정보가 있는가? 5) 업그레이드 후 최신 보안 기능이 비활성화되어 있는가? 6) 애플리케이션 서버, 프레임워크, 라이브러리, 데이터베이스 상에 보안 설정이 되.. 2023. 1. 27. [OWASP 2017] A5 취약한 접근 통제 1. 개요 접근통제 절차를 무력화시키는 공격은 공격자들에게 요구되는 핵심 기술이다. SAST와 DAST로 접근통제 절차의 존재 여부는 탐지할 수 있으나 작동 여부는 검증할 수 없다. 자동화된 도구와 수동 점검을 해야 한다. 2. 영향 공격자가 일반적인 사용자, 관리자, 권한 부여가 가능한 사용자 등으로 가장하여 행동할 수 있게 된다. 접근통제 실패 시 인가되지 않은 정보 누출, 데이터 조작이나 파괴 등이 일어날 수 있다. 3. 취약점 확인 1) URL, HTML 조작, 맞춤형 API 공격툴로 접근통제를 우회할 수 있는가? 2) 다른 계정의 정보를 열람할 수 있는가? 3) 로그인하지 않고 활동이 가능하거나, 권한상승이 가능한가? 4) JSON 웹토큰(JWT)의 접근 통제 토큰 재전송이나 변경, 권한 .. 2023. 1. 27. [OWASP 2017] A4 XML 외부 개체(XXE) 1. 개요 XML 업로드가 가능하고, XML 문서에 취약한 코드, 의존성, 통합을 공격하는 악의적인 내용을 포함할 수 있는 경우 발생할 수 있다. 오래된 XML 프로세서들에서 처리 시 참조되는 URI에 대해 외부 개체 지정을 허용하여 발생이 가능하다. SAST(정적분석)와 DAST(동적분석)로 공격이 가능한지 확인할 수 있다. XML 기반 웹 서비스나 다운스트림 사용 시 공격에 취약하다. 2. 영향 데이터 가져오기, 원격 요청 실행, 내부 시스템 탐지, 서비스 거부 공격 등을 위해 사용할 수 있다. 3. 취약점 확인 1) 애플리케이션이 직접 XML를 입력 받거나, 신뢰할 수 없는 곳의 XML을 업로드, 신뢰할 수 없는 데이터를 입력할 수 있는가? 2) SOAP(Simple Object Acces.. 2023. 1. 26. [OWASP 2017] A3 민감한 데이터 노출 1. 개요 전송 구긴 및 브라우저 등에서 키를 훔치고, 중간자 공격으로 인해 민감한 데이터가 노출될 수 있다. 민감한 데이터를 암호화하지 않고, 취약한 키 생성 및 관리, 약한 알고리즘, 프로토콜, 암호 사용, 취약한 암호 해싱 저장등으로 발생할 수 있다. 2. 영향 민감한 개인 정보가 노출될 수 있음. EU의 GDPR 같은 개인보호법이나 PCI DSS 같은 금융 데이터 보호 규정에 해당된다면 특별히 보호해야 한다. 3. 취약점 확인 1) HTTP, SMTP, FTP, 내부 트래픽 등에서 평문으로 데이터 전송하는가? 2) 백업 시 평문으로 처리하는 민감 데이터가 있나? 3) 취약한 암호 알고리즘을 적용하고 있는가? 4) 디폴트 암호 키 사용 및 약한 암호 키를 생성 및 재사용하거나 적절한 키 관.. 2023. 1. 26. [OWASP 2017] A2 취약한 인증 1. 개요 자격 증명 자료, 기본 관리 계정 목록, 무자별 대입 및 사전 공격 툴, 고급 GPU 크래킹 툴로 암호 조합에 접근할 수 있다. 만료되지 않은 세션 토큰도 문제! 2. 영향 시스템 손상, 사기, 기밀 정보 유출 3. 취약점 확인 기본 암호, 약한 암호 가 허용되는지 확인 효과가 없는 자격증명 복구나 비밀번호 복구 허용 평문, 암호화되거나 취약한 해쉬 비밀번호 사용 다중 인증이 없거나 비효율적 세션 ID가 URL에 노출 로그아웃, 비활성 기간 중 사용자 세션 및 인증 토큰이 무효화 되지 않음 4. 시나리오 1) 알려진 암호 목록을 사용한 계정 정보 삽입이 일반적 2) 유일한 인증 요소가 암호인 경우 발생 3) 세션에 대한 적절한 만료 시간이 정해지지 않은 것. 5. 보안 대책 1.. 2023. 1. 25. 이전 1 2 3 4 다음 728x90