[Secure]_#05_[ 불충분한 인가, 불충분한 세션 만료, 세션 고정, 자동화 공격, 프로세스 검증 누락, 관리자 페이지 노출]

 < 불충분한 인가 >

• 점검 내용 : 민감한 데이터 또는 기능에 접근 및 수정 시 통제 여부 점검.
• 점검 목적 : 접근 권한에 대한 검증 로직을 구현하여 비인가자의 악의적인 접근을 차단하기 위함.
• 보안 위협 : 접근제어가 필요한 중요 페이지의 통제수단이 미흡한 경우, 비인가자가 URL 파라미터 값 변경 등의 방법으로 중요 페이지에 접근하여 민감한 정보 열람 및 변조 가능함.

---

ex) VIDEO 1

<불충분한 인가> 취약점을 이용한 공격 --> 1. url 변조 55010을 55011로 바꾸어 관리자 글쓰기 페이지로 이동하였다.

 

--> 그렇다면, 공격자는 어쩌다 55010을 55011로 바꾸어볼 생각을 했을까?

 

-->

아마 공격자는 해당 사이트의 소스를 살펴보고, 사이트에 들어가볼 수 있는 곳을 최대한 많이 들어가본 후,

그 url들을 샅샅이 분석한 뒤에 그 규칙성을 통해 "55010을 55011로 바꾸면 관리자 글쓰기 페이지로 넘어갈 수 있을 것 같은데?"라는 생각을 하였을 것이다.

즉, 

1. 소스보기.

2. 사이트의 들어갈 수 있는 곳 들어가본 후 url확인.

3. 분석.

이 3가지를 한 것이다.

 

위와 같은 경우, 해당 사이트에서는 관리자 권한 관리는 "일반 사용자는 글쓰기 버튼이 없음."을 통해 이루어졌다.

 

위처럼 공격하는 경우 관제에서 잡아낼 수 없다. 

왜냐하면 그저 공격자는 url에 아무 숫자를 입력해본 것이라 할 수 있기때문이다.(물론 악의적 의도가 존재한다.)

 

-->

그렇다면 어떻게 방지해야 할까?

 

위 사이트의 경우 : 

관리자 권한 관리 --> 관리자가 아닌 경우 글쓰기버튼을 없앰. --> 저장할 때 막아야 한다. --> 권한이 있는지 없는지 -->

DB에 권한관리하는 기능이 만들어져 있는지 --> 처음부터 다시 구축해야함.  

 

이렇게 일이 커질 수 있다. 따라서 설계 단계에서부터 올바르게 구축하는 것도 중요하다.

---

---

 

< 불충분한 세션 만료 >

• 권고사항이다.(만료를 시켜야하는 경우도 있으나 아닌 경우도 존재.)
• **세션 : 사용자PC가 요청을 보내면 서버에서 아무 의미없는 값을 넣어서 만든다.
• 지정한 시간이 지나면 세션 인증값이 사라짐.

** 세션을 받은 후, 10분이 지나기 전에 창을 그냥 닫으면 세션은 그대로 있을까? 아니면 사라질까?

   --> 세션을 받은 시간으로부터 10분이 지날 때까지 세션은 그대로 남아있다.(원래 서버와 PC는 연결되있지 않다!!)

   --> 로그아웃을 하고 창을 닫아야 세션이 사라진다.

 

 

ex)

 

 

 

ㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡ

그렇다면, 우리가 평소  PC로 로그인을 할때, 매번 다시 로그인을 한다.

반대로, 핸드폰으로 로그인을 할때는 주로 매번 다시 로그인을 하는 것이 아니라 로그인이 된 상태로 바로 실행되는 경우가 대부분이다. 

 

왜 그럴까??? 

 

--> 그 이유는 PC 와 핸드폰의 차이에서 알 수 있다.

PC는 개인용 PC도 존재하지만 공용 PC라는 것이 실제로 다수 존재한다.

반면, 핸드폰은 대부분의 경우 개인적 사용목적이 대다수이고, 주인이 정해져 있다.

 

따라서 PC는 보다 다수의 사람들에게 노출되기 때문에 매번 다시 로그인을 하는 경우가 대부분인 것이고,

핸드폰은 '나'(주인)만 쓰기 때문에 로그아웃하지않아서 다시 로그인을 시키는 경우가 적은 것이다.

+ 핸드폰은 고유 시리얼넘버도 확인하기 때문인 이유도 있다.

 

---

---

 

< 세션 고정 >

• 점검 내용 : 사용자 로그인 시 항상 일정하게  고정된 세션 ID 값을 발행하는지 여부 확인.
• 점검 목적 : 로그인할 때마다 예측 불가능한 새로운 세션 ID를 발행하여 세션 ID의 고정 사용을 방지하기 위함.
• 보안 위협 : 사용자 로그인 시 항상 일정하게 고정된 세션 ID가 발행되는 경우, 세션 ID를 도용한 비인가자의 접근 및 권한 우회가 가능.
• **세션 값은 항상 random값 이어야 한다.

<세션 고정> 취약점 진단 시, 2개의 다른 네트워크 망을 사용하는 것이 좋음.(IP까지 확인하는 서버도 있기 때문에.)

 

 

---

---

 

< 자동화 공격 >

• 점검 내용 : 웹 애플리케이션의 특정 프로세스에 대한 반복적인 요청 시 통제 여부 확인. --> DDOS공격.

<자동화 공격> 취약점은 거의 잡지 않는다. 

왜냐하면 대역폭을 너무 차지하고, 스트레스성 공격이므로 하지 않는다.

이  취약점을 하나 찾으려다가 서버를 망가뜨려버리면 골치아프다.

 

그럼 공격자가 이러한 공격을 하는 것을 어떻게 대응할까?

 

--> 대표적인 예로 캡차(CAPCHA)가 있다.

 

캡차(CAPCHA) : 자동화된 컴퓨터와 사람을 판별하기 위한 기술의 일종.

ex)  나는 로봇이 아닙니다. 다음 그림중 신호등/ 버스 그림을 고르시오.

 

---

---

< 프로세스 검증 누락 >

• 점검 목적 : 인증이 필요한 페이지에 대해 비인가자가 우회적(비정상적) 방법으로 중요한 페이지에 접근을 시도하는 것을 차단하기 위함.

 

 

 

ㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡ

<불충분한 인증>, <불충분한 인가>, <프로세스 검증 누락> --> 이 3개의 취약점은 비슷한 취약점들이다.

 

• <불충분한 인증> : 개인정보 수정 시 PW확인이 없는 경우
• <불충분한 인가> : 게시물(남이 쓴 글) 수정,  권한 우회 프로세스가 없는 경우 
  •  --> [저장]을 누를 때 PW를 입력하게 해야 됨.
  •  --> 그러나 이렇게 조치하여도 공격자가 비밀글과 같은 게시물의 내용을 볼 수 있으므로 취약하다.
• <프로세스 검증 누락> : 관리자 페이지 접근 시, 민감 페이지 접근 시
  • 대부분 URL변조를 통해 접근한다.
  • --> 정상적으로 인증하면 임시값을 주도록 조치.(혹은 토큰을 줌.)
  • --> 비정상적으로 접속하는 경우에는 임시값이 없기 때문에 서버가 이를 확인하고 다시 전 단계로 돌아가도록 만듬.

 

---

---

<관리자 페이지 노출>

   - 점검 내용 : 어떤 방법으로든 관리자 페이지 및 메뉴 접근의 가능 여부 점검.

   - 점검 목적 : 비인가자의 비정상적 방법을 통한 관리자 메뉴 접근 방지.

 

** 사실 사이트에 "관리자"라는 이름이 나오면 거의 취약점이다. 

** '보안' 이라는 것은 최소한으로 피해를 줄이는 것이므로 굳이 사이트에 '관리자'라는 말이 있을 필요가 전혀 없다.

 

<관리자 페이지 노출> 취약점 찾는 방법 :

(1) 소스 보기.

(2) 사이트 URL분석 후 URL 유추.

(3) 구글링으로 관리자 페이지 노출된 경우.

 

** 영세 사업자의 경우 대기업과 달 전문적으로 사이트에 대해 직접 방지하기 어렵기 때문에

URL을 통해 관리자가 관리자 페이지로 접속할 수 있도록 설정한 경우도 존재한다. 

--> 따라서 용도에 따라 취약점으로 분류할지 안할지 구분해야 한다.