[2조] 모의해킹최종결과보고서

목차

I. 개요 4
1. 목적 4
2. 대상 5
2.1 웹 어플리케이션 5
3. 수행 일정 및 인력 6
3.1 수행 일정 계획 6
3.2 수행 인력 6

II. 모의해킹 수행 방법 7
1. 모의해킹 작업 개요 7
2. 모의해킹 절차 8
2.1 주변 정보 수집 단계 8
2.2 접근권한 획득시도 8
3. 모의해킹 사용 도구 9
4. 주요 공격 기법 및 수행 시나리오 10
4.1 진단 항목 요약 10
4.2 주요 공격 기법 (진단 항목) 10
4.3 수행 시나리오 12

III. 모의해킹 결과 14
1. 모의해킹 결과 요약 14
1.1 웹 어플리케이션 진단 결과 요약 14
2. 웹 어플리케이션 진단 상세 결과 14
2.1 Directory Indexing 14
2.2 XSS 16
2.3 cookie sniffing 19
2.4 html tag 취약점 20
2.5 SQL Injection 취약점 23
2.6 File Upload 취약점 28
2.7 Reverse Telnet 34
2.8 기타 취약점 35

IV. 보안 대책 40
1. 웹 어플리케이션 보안 대책 40
1.1 XSS 보안 대책 40
1.2 SQL Injection 보안 대책 41
1.3 파일 업로드 보안 대책 42
1.4 에러페이지 미비 취약점(404, 500) 42
1.5 Directory Indexing 43
1.6 백업 파일 43
1.7 잘못된 설계 및 코딩 보안 대책 44

V. 총평 45
1. 웹 어플리케이션 45

본문내용

II. 모의해킹 수행 방법
1. 모의해킹 작업 개요
내부 비인가자에 인한 해킹의 위협을 파악하기 위하여 TEST 서버로 구축된 시스템을 대상으로 아래와 같은 환경에서 모의 해킹을 실시하였습니다.
모의 해킹은 취약점 분석 전용영역인 TEST서버의 고정IP 주소를 사용하여 작업을 수행
공격자는 대상 시스템의 최소 정보만을 획득한 상태에서 모의해킹을 수행

2. 모의해킹 절차
모의해킹 수행 절차는 웹 어플리케이션에 특화되어서 실시하게 되며 `주변 정보 수집`을 시작으로 실제 공격단계에 접어들게 됩니다.

2.1 주변 정보 수집 단계
TEST 서버로 구축되어 있는 서버를 내부 망에서 모의 해킹을 실시하기 때문에 대외정보 수집은 생략하게 됩니다.
Acunetix web scanner를 이용하여 IP 대역 중 외부에 노출되어 있는 시스템들의 목록을 만들기 위하여 아래와 같이 Web Scanning을 시도합니다.

<중 략>

구분
점검항목
점검내용
■ 잘못된 설계 및 코딩으로 웹 스크립트 및 악의적인 파일이 업로드 되는지 점검합니다.
점검결과
■ 악의적인 목적으로 이용될 수 있는 웹 스크립트, 즉 웹쉘이 업로드 가능하여 DB 연결 정보와 중요한 정보들이 유출 될 수 있음을 확인 하였습니다.
대응방안
ㅇ 업로드 제한
- 실행 가능한 파일은 업로드를 금지하고, 업로드 가능한 확장자를 정의하여 서버와 클라이언트에서 모두 확장자 검사 수행
- 업로드 디렉토리의 실행 권한 제어
- 웹서버로 업로드 할 경우 대량의 업로드로 인한 서비스 불능 사태가 발생하지 않토록 조치
ㅇ 스크립트 실행 제한
- 스크립트가 실행될 수 있는 디렉토리를 특정 디렉토리로 제한
- 스크립트를 추가할 수 있는 권한은 관리자권한으로 제한

1.4 에러페이지 미비 취약점(404, 500)

구분
점검항목
점검내용
에러메시지의 내용 및 Guessing 공격을 통해 서비스의 구조를 파악할 수 있어 의도적으로 임의 URL을 요청하여 서비스의 에러를 유도합니다.
점검결과
Microsoft OLEDB 에러를 발생시킬 수 있는 특수문자를 입력하여 에러 메시지를 통해 디렉토리 구조나 파일명, 쿼리문을 추측하는 것이 가능합니다.
대응방안
대응 방안
- 에러 메시지를 외부에 제공하지 않도록 함.
- 에러가 발생한 경우 에러 발생 메시지를 사용자 클라이언트의 브라우저에 표시하지 않고 메인 페이지 또는 지정된 에러 페이지로 Redirect 시키도록 함.(apache, iis 에러메시지 설정)
- IIS/6.0 사용자 오류 지정 예제

참고자료

· 없음