접근 통제 취약점 공격

인증 : 신원을 확인하는 과정

인가 : 인증된 사용자의 권한을 확인하는 것

접근 통제 : 인증과 인가를 거친 후 리소스에 대한 접근을 허용하거나 차단하는 과정

 

IDOR 공격(안전하지 않은 직접 객체 참조)

Insecure Direct Object Reference의 약자로 공격자가 요청 메시지의 URL이나 파라미터를 변경하여 정상적으로는 허용되지 않은 기능을 실행하거나 다른 사용자의 리소스에 접근할 수 있는 공격

A4 그룹의 Insecure DOR (Order Tickets) 메뉴에 접속해보자

Confirm 클릭시 전송되는 요청의 형태를 버프스위트로 보면 quantity, price가 보인다. 

quantity는 100, price는 0으로 수정하여 요청을 전송한다.

결과적으로 100개의 티켓을 0원으로 주문할 수 있다.

 

관리자 페이지 인증 우회

종종 관리자 페이지는 admin, admin.php, admin.jsp 등과 같은 URL로 되어 있어 쉽게 추측할 수 있는 경우가 많다. 

manager, system 등의 URL로 되어 있을 수도 있다. 이는 DirBuster 같은 자동화 툴을 이용하여 숨겨진 URL을 쉽게 찾을 수 있다.

bWAPP의 관리자 페이지는 로그인 없이 접속가능하다. bee/bug로 로그인 가능함을 알 수 있다.

 

디렉터리 트래버설 취약점 공격

경로를 입력받는 파라미터가 존재하는 경우 파일의 경로를 조작하여 개발자가 의도하지 않은 경로에 있는 파일에 접근하는 공격이다. 주로 ../ 형태로 많이 사용한다.

A7 그룹의 Directory Traversal - Files 메뉴에 접속하자.

page 인자에 message.txt가 전달된다. 이 값을 ../를 이용하여 /etc/passwd 파일에 접근한다.

 

접근 통제 취약점 공격 대응 방안

1. IDOR 공격 대응

웹 애플리케이션은 사용자로부터 전달되는 모든 입력값을 검증해야한다.

2. 관리자 페이지 우회 공격 대응

admin과 같이 쉽게 추측할 수 있는 디렉터리를 사용하는 것을 지양한다.

관리자 인터페이스를 별도의 포트 번호에서 제공한다.

관리자 메뉴는 HTTPS 프로토콜을 이용하도록 구현한다.

특정 IP 범위를 지정하여, 범위에 속하는 IP만 관리자 메뉴에 접근할 수 있도록 한다.

3. 디렉터리 트래버설 공격 대응

화이트 리스트 방식의 입력값 검증을 수행한다.

블랙리스트 방식을 사용할 경우, ../와 http:// 같은 문자열을 차단해야한다.