[Bee-box] 인증 결합

이번 포스팅은 '인증결합' 입니다.

 

실습 과정이 아닌, A2파트를 시작하면서 필요한 지식과

공격 흐름도를 설명하겠습니다.

 

---

 

 

웹 애플리케이션에서는 로그인하는 대상이 아이디와 비밀번호를 이용하여

사이트에 등록된 사용자가 맞는지 확인하는인증 절차를 거친다.

이 인증 절차를 거쳐 사용자로 확인되면 웹사이트에서 특정 권한을 받는다.

 

또한 인증 후 페이지를 이동할 땐 로그인 상태를 유지하며,

일정 시간에 따라 접속 초기화를 한다. (세션 생성하고 설정해주면 이케됨)

 

그러나 이 과정 (인증 과정)에서 결함이 발생하면 사용자의 계정 정보가 노출되고

공격자는 노출된 계정 정보로 로그인 할 수 있다.

또한 세션관리가 허술한 경우 공격자는 세션 아이디를 탈취하여 사용자의 권한을 획득하기도 한다.

 

공격자가 공격에 성공한다면 (피해자의 로그인 정보로) 인증 없이 사용자 권한으로

웹 사이트의 서비스를 이용할 수 있게된다.

 

 

 

인증 과정 결함 공격 흐름도

 

 

인증 결함이란?

 

인증 결함이란 인증에 필요한 사용자의 계정 정보를 노출하는 취약점을 말한다.

보통 웹 페이지의 HTML코드에 계정 정보를 노출 하거나, 인증을 GET 메서드로 요청하여 URL에 계정 정보가 노출된다.

또한 웹 사이트에 가입할 때 추측할 수 있거나, 무차별 대입 공격(brute force attack)이 가능한 비밀번호 입력을 허용

하는 경우도 포함한다. 이외에도 비밀번호 찾기 기능에서 사용자의 계정 정보를 노출하기도 한다.