09. 정보 누출

취약점 소개

---

웹 사이트의 데이터(중요정보)가 노출되는 것으로 개발 과정의 코멘트나, 중요 개인 및 금융-계정 정보, 웹 서버 정보, 웹 애플리케이션 서버 정보, DB 정보, ...가 노출될 경우 공격자들의 2차 공격을 위한 주요 정보를 제공할 수 있는 취약점

 

판단 기준

---

웹 사이트 중요정보들이 노출되는 경우

 

점검 사례

---

- 웹 사이트에 중요정보가 평문으로 노출되는가 확인

- 웹 페이지에 마스킹 된 중요정보가 웹 페이지 소스에 평문으로 노출되고 있는지 확인

 ex) HTML 소스에 하드코딩된 경우

 <input type="text" value="superSecretPassword123">

 

 ex) JavaScript 변수에 하드코딩된 경우

 var apiKey = " 853j2k1j23hjkffd9834jk..."

 var databasePassword = "mySQL+p@..."

 

 ex) JavaScript 객체에 하드코딩된 경우

 ex) 주석에 하드코딩된 경우

 ...

- 에러 메시지 또는 에러 페이지에서 과도한 정보가 노출되는지 확인

- 인코딩된 중요정보는 디코딩 가능한지 확인

 ex) Base64로 인코딩된 암호화 디코딩으로 계정 및 비밀번호가 확인 가능할 경우

 

- 임의의 계정으로 로그인 시도하여 반환되는 에러 메시지를 통해 특정 iD의 가입 여부를 식별할 수 있는지 확인

 

보안 설정

---

- 주민번호 뒷자리, 비밀번호 입력 시 마스킹 처리하여 주변 사용자 노출되지 않도록 설정

- 개인 정보 마스킹

 성명 중 가운데 글자 (이*윤)
 생년월일 (****년 **월 **일)
 전화번호 또는 휴대전화번호 (010-****-1234)
 주소 읍/면/동 (서울시 구로구 ***동)
 IP v4 주소의 경우 17~24bit, IP v6일 경우 113~128bit

- 웹 페이지를 운영페이지로 이관 시 주석 모두 제거

- 중요정보 HTML 소스 코드에 포함하지 않도록 함

- 로그인 및 기타 페이지에서 자세한 정보 알림을 주지 않도록 함

- 에러 코드 페이지 Redirect 관리(통합 에러 페이지)(웹 서버별 상세 설정 필요)

- ...