[Secure]_#04_[XSS, stored, reflected, 필터링, 세션 하이재킹, CSRF, 입력막기, 출력막기, 약한 문자열 강도, 불충분한 인증, 취약한 패스워드 복구, 세션 예측, 세션/쿠키, hash]

크로스사이트 스크립트(XSS)는 두가지로 나눌 수 있다. 

1. stored : 공격자가 입력한 코드가 서버에도 저장되어 다른 사용자에게도 영향을 주는 것.
2. reflected : 공격자가 공격자 자신에게 XSS를 일으키는 것.(서버에 영향X) 

** 그렇다면, reflected XSS가 취약점인 이유는 무엇일까?

--> 공격자가 [신뢰할 수 있는 사이트]의 url의 뒷부분에 [악성사이트의 url]을 더해서 일반사용자에게 전달한다면?

--> 사용자들은 의심없이 그 url에 접속할 것이다.

 

ㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡ

XSS 를 찾는 방법에 대해 생각해보자.

 

--> 입력이 가능한 모든 입력창에 악의적인 스크립트를 입력한다.

**악의적인 스크립트 : 사용자의 목적외에 의도하지 않은 일이 일어나는 것.(tag, 이벤트핸들러, 행위 로 이루어짐.)

** 입력이 가능한 모든 창에 입력한다는 점에서 SQL Injection하고의 차이가 존재한다.

 

ex)

<img src=" "on error="alert("경고")";>

---

 

XSS 를 막는 방법에 대해 알아보겠다.

XSS 막는 방법 (구조)

방법 (1) : 입력 막기

 

방법 (2) : 출력 막기

•     --> 필터링 ("<", ">", "태그" 와 같은 문자를 필터링하거나 아예 "on ~ "과 같은 이벤트핸들러들을 필터링하여도 된다.)
•     --> 이때, 필터링을 꼼꼼히 제대로 걸지 않으면 악성코드가 아닌 정상코드까지도 필터링할 수 도 있기때문에 주의해서 필터링을 해야한다.(홈페이지 깨짐 현상.)
•     --> 홈페이지 깨짐 현상과 같은 요소 때문에 보통 신규사이트에서 시도되곤한다.

 

---

* 입력시에 평문을 인코딩하여 출력되기도 하는데, 역으로 인코딩된 값을 입력하면 디코딩된 상태로 출력되기도 한다. 

 

ㅡㅡㅡㅡㅡ

 

- 블랙리스트 : 안되는 것 지정.

- 화이트리스트 : 되는 것 지정. ==> 사용자가 원하는 것을 허용.(악의적이지 않은 것만.)

 

--> 블랙리스트를 만들어서 방어하는 것 보다 화이트리스트를 만들어서 방어하는 것이 더 좋다.

 

---

---

세션 하이재킹

 

공격자가 사용자의 세션을 몰래 탈취하는 것.

 

1. XSS를 통해 게시판에 사용자가 해당 글을 보려고 클릭하면 스크립트가 실행되도록 글을 쓴다.

2. XSS를 통해 공격자가 미리 준비해둔 IP로 사용자가 클릭한 순간 사용자의 세션 정보가 전송되도록 스크립트를 작성.

3. 세션 정보를 복사하여 접속

4. 해당 사용자의 로그인한 뒤의 상태의 페이지로 접속 성공.

 

 

 

---

약한 문자열 강도

 

점검 내용 : 웹페이지 내의 로그인 폼 등에 약한 강도의 문자열 사용 여부 점검.

점검 목적 : 유추 가능한 취약한 문자열 사용을 제한하여 계정 및 패스워드 추측 공격을 방지하기 위함.

 

ex) admin, administrator, manager, guest, test, scott, tomcat, root, user, operator, anonymous 등

 

• 만약 n번째 인증시 로그인을 제한하는 경우  
  • -->  ID는 맞음을 공격자가 알게된다. --> 취약.
• ID는 맞고 PW는 틀렸는데 PW가 틀렸다고 오류메시지를 출력하는 경우 : 
  • -->  ID는 맞음을 공격자가 알게된다. --> 취약.

ㅡㅡㅡㅡㅡ

 

가장 이상적인 PW 조합 경우 : 

(1) 영문 대문자

(2) 영문 소문자

(3) 숫자

(4) 특수문자

(5) 공백

 

** 공백은 처리하기 힘들기 때문에 포함되지 않기도 한다.

** 공백 : 한칸. (채우려면 지우고 넣어야 함.)

** null : 아무것도  없음.(채울때 바로 넣으면 됨.)

 

 

---

---

**

보통 어떤 사이트에서 비밀번호를 입력할 때, 패킷 단계에서부터 암호화를 한다.

그러나, 금융권 사이트의 경우, 사용자가  PC에서 비밀번호를 입력할 때부터 프록시에서 암호화가 된다.

 

 

---

---

 

불충분한 인증

 

점검 내용 : 중요 페이지 접근 시 추가 인증 요구 여부 점검

 

사용자가 계정을 생성할 때, 보통 다음과 같은 과정을 거친다. 

계정 생성 과정.

 

위와 같은 방식을 거치는데, 만약에 (2), (3)번 단계의 과정없이 계정 확인 후 바로 계정이 생성되는 페이지로 넘어간다고 가정해보자. 이러한 경우에 생기는 문제점은 무엇일까?

 

--> 중복계정을 만들게 될 수 있고, 한 사람이 계정을 여러개 만들 수 있게 된다. (취약점.)

 

--> 이러한 이유로 (2)인증단계가 존재하는 것이다. 

 

ex)

예를 들자면,

(3)에서 URL을 복사해놓고

(2)단계 없이 (1)에서 복사해둔 URL을 통해 바로 (3)으로 접속이 가능하다면

취약점이다.

 

이런 경우 절대 관제에서 걸러낼 수 없는 취약점이고,

설계가 잘못된 경우이다.

 

해결법으로는 "토큰"을 사용하는 방법이 있다.

 

ㅡㅡㅡㅡㅡ

ex2) 중요정보 페이지(개인정보 변경 등) 접근 시 재인증 여부 확인

 

이미 로그인을 완료한 상태인데, 개인정보 변경을 하려하면 다시 본인인증을 하는 이유가 무엇일까?

 

--> 공격자가 악의적인 방법으로 로그인한 후 개인정보를 변경하려할 수 있기 때문이다. 

--> 악의적인 로그인 방법으로는 세션 하이재킹 , SQL 인젝션 등이 있을 수 있다.

 

---

 

취약한 패스워드 복구

 

점검 내용 : 웹 사이트 내 패스워드 복구 절차의 적절성 점검.

점검 목적 : 패스워드 복구 로직을 유추하기 어렵게 구현하고, 인증된 사용자 메일이나 sms에서만 복구 패스워드를 확인할 수 있도록 하여 비인가자를  통한 사용자 패스워드 획득 및 변경을 방지하기 위함.

 

 

** [비밀번호 찾기] 할 때, 바로 비밀번호를 화면이 노출하여 알려주는 것이 아니라,

email이나 sms로 새로 임시비번을 알려주는 이유는 무엇일까??

 

--> 바로 보여주지 않고 다른 매체로 알려주는 이유 :

               인증된 매체로 알려줌으로써 사용자 본인이 아닌 공격자가 시도한 경우 알아차리게 하기 위함.

 

--> 기존 비밀번호가 아니라 새로운 임시비밀번호를 알려주는 이유 :

               서버에는 사용자의 비밀번호가 평문이 아니라 암호화되어있어서 서버도 뭔지 모르기 때문이다.

 

ㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡ

 

---

---

 

크로스 사이트 리퀘스트 변조(CSRF)

 

 

CSRF로 공격자가 사용자의 비밀번호를 바꾸는 과정.

 

 

 

 

아래의 예시는 아무런 영향이 없는 행위이다. -->

 

패킷화 되기 전에 변조를 해야 영향이 생기고,

응답받은 후에 변조하면 코드를 친 사람  그 자신에게만 영향이 생긴다.

---

---

세션 예측

 

점검 내용 : 단순한 방법으로 생성되는 세션 ID를 예측하여 세션 탈취 여부 점검.

• 세션이 존재하기 때문에 인터넷은 취약하다.
• 그러나, 세션이 있어야 인터넷을 사용할 수 있다.

   - 세션 만료 : '나'를 인증하는 것이 만료.(만료 시키는 이유 : 탈취가 가능하기 때문이다.)

 

   - 예측이 가능하면 다른 세션에 접속이 가능될 수 있음. --> 취약.

   - 인터넷은 연결이 아니라 SYN, ACK로 묻답이라 취약하다.

 

취약 / 양호 판단 기준 :  --> 양호 : 추측 불가능한 세션 ID가 발급되는 경우.

 

** 따라서 

 

세션에는 ID, PW 그 어떤 정보도 들어가선 안된다.(암호화 되었어도.) (들어가면 추측이 가능해짐.)

--> 세션 정보에 hash값을 넣음.

 

** hash 암호 : 1bit만 달라져도 값이 모두 달라짐.

 

 

 

ㅡㅡㅡㅡㅡ

 

쿠키 / 세션

 

• 쿠키는 사용자의 PC(각 PC)에 저장되고,
• 세션은 서버에 저장된다.
• 쿠키의 경우, 최근에는 각 PC에서 마음대로 변조할 수 있어서 잘 쓰지 않는다.
• 쿠키를 쓰는 사이트 => 영세한 사이트 => (장바구니 정보를 암호화하여 쿠키에 저장해둔다.)