본문 바로가기

시스템/웹/포렌식 보안/웹 해킹/보안

접근 우회(통제) 취약점 1. 취약점 설명 가 .개요 접근통제는 특정 사용자들에게만 웹 콘텐츠나 기능들에 접근할 수 있도록 허가해 주는 것으로 일반적으로 관리자 페이지에 대한 접근통제가 필요하다. 관리자 페이지는 웹 서비스의 사용자나 데이터, 콘텐츠를 손쉽게 관리하기 위한 목적으로 다양한 기능과 권한을 갖고 있고 이는 홈페이지의 운영에 매우 중요한 역할을 하고 있으므로 일반사용자는 인증을 통과하지 못하도록 할 뿐 아니라 일반사용자가 관리자 페이지를 볼 수 없도록 해야 한다. 그러나 일반적으로 추측하기 쉬운 URL(ex: /admin, /manager)을 사용 하고 있어, 아이디/패스워드에 대한 크랙 또는 접근 허가 정책에 대해 요청하는 부분의 정보를 변경함으로써 접근이 가능한 경우가 많다. 웹 관리자의 권한이 노출될 경우 홈페이.. 더보기
웹 개발 보안 가이드라인 □ ASP 1. include 파일을 보호하자. - 일반적인 디렉토리(/lib, /include, /library등)를 사용하지 않도록 한다. include 파일들의 확장자를 .inc나 .lib등을 사용하는 경우 웹 페이지 상에서 텍스트 파일로 인식하지 않도록 .asp를 붙여서 사용한다.(예:config.inc.asp, lib.inc.asp등) - 별도의 확장자를 사용할 경우 아래와 같이 해당 확장자를 처리할 수 있도록 웹 서버에서 설정하여 준다. 2. Server.HTMLEncode - 용도 : 특정 문자열에 대한 HTML encoding을 수행한다. 사용자가 입력한 값으로 HTML 페이지를 구성하기 전에 사용하면 Cross-SiteScripting 공격 등에 효과적이다. - 적용 가능한 IIS : I.. 더보기
파일 업로드 취약점 점검 및 보안 1. 취약성 대부분의 홈페이지는 사용자들을 위하여 여러 가지 종류의 게시판을 사용하고 게시판들은 파일을 첨부하는 기능 등 다양한 기능을 가지고 있는데 이런 게시판의 첨부파일 업로드를 기능을 악용하여 웹 서버의 권한이 노출될 수 있음.. 2. 점검 방법 ◦ 먼저 사용자 게시판에 파일첨부 기능이 있는지 조사한다. 예) 게시판, 공개 자료실, 관리자 자료실, 이미지 자료실 등 ◦ 첨부기능이 존재하는 경우, 확장자가 jsp, php, asp, cgi 등 Server SideScript 프로그램을 업로드 하여 업로드가 가능한지 조사한다. 이 때 클라이언트 프로그램에서 JavaScript, VBScript 등의 스크립트로 파일첨부를 차단하는 경우 차단기능을 수정하여 파일을 첨부한다. ◦ 홈페이지에 있는 디렉터리 정.. 더보기
Windows 2008 파일 시스템 보안설정 windows 2008/7 보안설정과 관련된 내용입니다. l CMD 파일 권한 설정 IIS는 batch파일을 Interpret하기 위해서 자동적으로 cmd를 실행하는데 여기서 요청된 파일의 다른 부분을 이용해 공격자는 '&' 와 같은 Character를 삽입함으로써 원하는 명령을 실행 가능한다. 양호 – IIS 서비스가 실행 중이 아니거나, administrators, system, TrustedInstaller 만 권한 설정되어 있을 경우 취약 – IIS가 실행 중이면서, administrators, system, TrustedInstaller 이외에도 실행 권한이 설정되어 있을 경우 탐색기 à C:\WINDOWS\system32\cmd.exe 파일선택>속성>보안 à administrators, sys.. 더보기
웹 진단(모의해킹) 가이드 라인 OWASP10 개요 웹브라우저 주소창, ID 및 패스워드 입력화면 등에서 데이터베이스 SQL문에 이용되는 특수문자를 필터링하지 않아 데이터베이스에 인증절차 없이 접근하여 자료를 무단 유출하거나 변조할 수 있게 함 점검범위 웹사이트의 기본적인 “사용자 인증창 우회 SQL Injection 취약점 점검” 방법을 이용하여 취약점 존재 가능성을 점검 점검방법 1. 홈페이지 관리자 로그인 페이지로 이동합니다. 2. 관리자 아이디와 패스워드에 아래 문자열을 입력하여 결과를 확인합니다. ① ‘or 1=1;- - ② ‘ ’ or 1=1- - ③ "or 1=1 -- ④ or 1=1-- ⑤ 'or 'a'='a ⑥ " or "a"="a ⑦ ')or('a'='a ⑧ sql' or 1=1- - ⑨ sql" or 1=1-- ⑩ + or 1=1.. 더보기
SQL Injection 취약점 점검 가이드 1. 개요 - 현재 대부분의 웹 사이트들은 사용자로부터 입력 받은 값을 이용해 데이터 베이스 접근을 위한 SQL Query를 만들고 있다. 사용자 로그인 과정을 예로 들면, 사용자가 유효한 계정과 패스워드를 입력했는지 확인하기 위해 사용자 계정과 패스워드에 관한 SQL Query문을 만든다. 이때 SQL injection 기법을 통해서 정상적인 SQL query를 변조할 수 있도록 조작된 사용자 이름과 패스워드를 보내 정상적인 동작을 방해할 수 있다. 이러한 비정상적인 SQL Query를 이용해 다음과 같은 공격이 가능하다. ● 사용자 인증을 비정상적으로 통과할 수 있다. ● 데이터베이스에 저장된 데이터를 임의로 열람할 수 있다. ● 데이터베이스의 시스템 명령을 이용하여 시스템 조작이 가능하다. 이러한 .. 더보기
취약점 위험평가 Framework 생각없이 일 하지 않기위해 고민해 봤었던 생각들... 지친다 지쳐 ü 웹 서비스 위주의 N/W보안관제의 특화된 Framework ü 기업환경과 네트워크 환경에 따라 요소 별 가중치는 가변적 ü 총점 5점 – 3점 이상 High Risk / 2~3점 Medium Risk / 2점 미만 Low Risk ü High Risk – 즉시차단조치 및 침해분석 ü Medium Risk – Monitoring(예외처리) ü Low Risk – IDS예외처리 ü 최초의 취약점 분석 시 Framework에 대입하여 High또는 분석이 요구되는 Medium 레벨의 취약점에 대해 분석 ü 정량적인 분석 방법에는 문제점도 존재 ex) 시스템, 발생조건, 기술레벨, 파급효과 High Level이지만 패치요소에서 2000년 취약점.. 더보기
악성코드 삽입 인지 및 삭제 가이드 라인 악성 코드 삽입 인지 및 악성코드 삭제 홈페이지에 악성코드가 삽입되는 유형은 대단히 다양하고 교묘하게 발전하고 있어 웹 관리자에 의한 발견이 쉽지 않다. 관리하고 있는 사이트에서 악성코드 삽입사실을 인지할 수 있는 것은 다음과 같은 경우가 있다. - 홈페이지 관리자가 웹 소스 분석을 통해 분석 - 홈페이지 방문자가 바이러스 백신의 경고창에 의한 발견 - KISA 등 제3의 기관으로 부터의 악성코드 삽입사실 통보 홈페이지에 악성코드가 삽입될 경우 홈페이지 방문자들의 pc가 감염되고 바이러스 백신이 이를 탐지하여 경고창을 PC 사용자에게 보여줄 수 있다. 이러한 이유로 홈페이지 방문자의 전화문의 또는 게시판에 홈페이지의 이상현상과 관련된 글들이 게시될 수 있으므로 홈페이지 관리자는 이들의 목소리에 귀를 기울.. 더보기
Apache 보안 설정 # 불필요한 파일 관리 홈페이지 서버에 테스트 파일과 같은 불필요한 파일을 삭제하고 홈페이지 서비스와 관련 없는 디렉토리(백업디렉토리 등)는 일반사용자가 접근이 불가능하도록 적절한 권한(디렉토리 또는 파일 접근권한)을 설정한다 # 최소한의 사용자 계정 사용 아파치 운영 시 위험을 최소화하기 위해서 최소한의 권한을 가진 사용자 아이디와 그룹으로 생성하는 것이 안전하다. 첫 번째로 이 사용자는 로그인을 할 수 없도록 운영체제의 계정을 다음과 같이 설정한다. 두 번째로 아파치 설정에서는 nobody 권한으로 실행하도록 다음과 같이 설정한다. 위의 설정으로 아파치 구동 프로세스는 한 개의 root 권한의 프로세스와 나머지는 nobody 권한으로 프로세스가 실행된다.. # 디렉토리 Indexes 설정 제거 웹 브.. 더보기
웹 프록시 툴을 이용한 취약점 점검 일부 기능에 대한 설명 입니다. 응용할 수 있는 부분은 굉장히 많겠죠! 1. 취약성 웹 프록시 도구는 최근 해킹 공격에 가장 활발히 사용되고 있는 도구로 클라이언트가 요청한 HTTP Resquest, Response 정보를 중간에서 도구를 통해 가로채 필터링을 우회하거나 서버에 전송되는 데이터를 조작해 허가 되지 않는 곳에 정보를 움쳐보거나 쓰기 등이 가능합니다 2. 피해 형태 허가 되지 않는 곳에 정보를 움쳐보거나 쓰기 등에서 그치지 않고 권한을 상승 시켜 최고 권한으 로 웹 사이트의 전 권한을 획득 할 수 있습니다 3. 점검 방법 가. 권한이 없는 게시판 글쓰기 l 게시판에는 공지사항, 자유게시판 등 여러가지가 존재하지만 각기 기능에 따라 권한이 분류되어 일반 사용자는 공지사항 게시판에서 내용은 확.. 더보기

티스토리툴바