[보안 해킹] 홈페이지 보안 취약점 - 권한 인증 취약점(쿠키 변조)

[보안 해킹] 홈페이지 보안 취약점 - 권한 인증 취약점(쿠키 변조)

■ 취약점 설명 및 사례

    ⑴ 취약점 설명

        - 사용자 인증 방식중 하나인 쿠키를 변조하여 다른 사용자로 전환하거나 권한 상승이 가능한 취약점

    ⑵ 사례

        ① OO대학 사용자 세션(Cookie 등)을 탈취, 인증 시스템을 우회하여 타사용자의 권한 획득이 가능

            ㉠ 게시판에서 소스보기로 관리자 ID 파악

            ㉡ 쿠키값 중 UserId 의 값을 관리자 ID 로 변경

■ 점검 방법

    ⑴ 프록시 도구를 이용하여 쿠키 값 변조 후 로그인 결과 확인

        ① 쿠키에서 사용자 레벨 확인

        ② 쿠키 값 "(USERLEVEL=1 USERLEVEL=5)" 변조 후 시도

        ③ 일반 유저의 권한이 [5]로 상승

■ 대응 방안

    ⑴ 홈페이지 개발 보안 조치

        ① 홈페이지는 사용자 인증 등 중요기능 구현 시 가급적이면 Coolie 대신 Session 방식 사용

        ② 홈페이지의 사용자 인증 등 중요기능 구현 시 Cookie(또는 Session) 방식 활용 시 안전한 알고리즘(SEED, 3DES, AES 등)을 사용

※ 기재될 홈페이지 개발 보안 방안 - 쿠키변조 참조, 소스코드를 수정하여 보안취약점을 조치

※ 문의 사항은 메일 : jyuhm@sntkor.com 이나 070-8611-4853

문의 사항 남기기