본문 바로가기

전체 글50

10. 악성 콘텐츠 취약점 소개악의적인 콘텐츠가 입력되거나 실행되는 취약점 (관련 취약점)→ XSS→ 파일 업로드 판단 기준악의적 콘텐츠가 입력되며, 실행되는 경우 ** 파일 업로드 취약점과 차이 ** - Server Side Script 코드가 업로드 되어 실행될 경우 (파일 업로드)- HTML 파일, exe 실행 파일, avi 동영상 파일, ... 실행될 경우 (악성 콘텐츠): HTML 파일이 올라가게 될 경우 스크립트 구문을 이용해 XSS 취약점 이용할 수 있음 점검 사례- 콘텐츠 삽입 및 파일 업로드 제한 필터링 적용 여부 점검- 게시판 등의 페이지에서 강제적으로 이뤄지는 악의적인 프로그램 다운로드 및 콘텐츠 자동 실행이나 악의적인 사이트로의 이동이 있는지 확인 대응 방안- 악성 콘텐츠가 삽입되어있는 페이지에 대한 .. 2024. 5. 13.

09. 정보 누출 취약점 소개웹 사이트의 데이터(중요정보)가 노출되는 것으로 개발 과정의 코멘트나, 중요 개인 및 금융-계정 정보, 웹 서버 정보, 웹 애플리케이션 서버 정보, DB 정보, ...가 노출될 경우 공격자들의 2차 공격을 위한 주요 정보를 제공할 수 있는 취약점 판단 기준웹 사이트 중요정보들이 노출되는 경우 점검 사례- 웹 사이트에 중요정보가 평문으로 노출되는가 확인- 웹 페이지에 마스킹 된 중요정보가 웹 페이지 소스에 평문으로 노출되고 있는지 확인 ex) HTML 소스에 하드코딩된 경우 ex) JavaScript 변수에 하드코딩된 경우 var apiKey = " 853j2k1j23hjkffd9834jk..." var databasePassword = "mySQL+p@..." ex) JavaScript .. 2024. 5. 12.

08. 디렉터리 인덱싱 취약점 소개웹 서비스 초기 페이지(index.html, home.html, default.asp, ...)의 파일이 존재하지 않을 경우, 서버 상의 설정 미흡으로 웹 서버 디렉터리 리스트가 화면에 출력되는 취약점. 판단 기준디렉터리 파일 리스트가 웹 상에 출력(노출)되는 경우 점검 사례- URL 경로 중 확인하고자 하는 디렉터리까지만 주소창 입력하여 인덱싱 여부 확인- 디렉터리 끝에 %3f.jsp 문자열을 붙여 디렉터리 인덱싱이 되는지 확인 피해 가능성- 소스코드(Server Side Script) 노출로 파일이 공개(DB의 정보 확인 가능, ..., 중요정보)- 중요문서(디렉터리 비밀문서, 설계도, 백업 파일, ...) 공개- 웹 서버의 다른 디렉터리 파일 확인 및 접근 시도 가능성- 불필요한 정보 노.. 2024. 5. 12.

07. XPath 인젝션 취약점 소개조작된 XPath(XML Path Language) 쿼리를 보냄으로써 비정상적 데이터를 열람할 수 있는 취약점→ XPath: XML 문서나 특정 요소-속성에 접근하기 위한 경로 지정 언어로 XPath 경로식을 이용하여 노드 형식으로 접근→ XML 데이터 처리(XML 문서 검색하는 환경), XML DB(XML 형식으로 저장 관리하는 환경), ...에서 발생 가능성 판단 기준XPath 쿼리가 실행되어 불필요한 데이터가 노출될 경우 점검 사례- ' and 'a' = 'a , ' and 'a' = 'b, ' and 1=1, ' and 1=2, ... 값 삽입하여 참, 거짓에 반환되는 페이지가 다른지 확인- ' or count(parent::*[position()=1])=0 or 'a'='b, ' or.. 2024. 5. 12.

이전 1 2 3 4 ··· 13 다음

티스토리툴바