주통기반 취약점 항목 별 공격 시나리오

Injection

공격자가 Injection 취약점을 발견하는 경우 DB 데이터를 탈취할 수 있게 된다. 그렇게 된다면 피해의 규모가 커질 것이다.

 

정보 누출

공격자는 누출되는 정보를 이용하여 다른 공격에 악용할 수 있다.

 

악성 콘텐츠

공격자는 웹 페이지에 악성 콘텐츠를 삽입하여 사용자나 관리자가 해당 콘텐츠를 열람 시 악성코드 감염 등 보안상 위험한 공격을 할 수 있다.

 

XSS

공격자가 이용할 수 있는 시나리오는 세션 탈취와 키로거 삽입이 있을 것이다.

XSS를 이용하여 관리자의 세션을 탈취하게 된다면 공격자는 관리자 계정을 이용하여 다양한 공격을 할 수 있을 것이다.

공지글에 XSS를 이용하여 악성코드를 삽입할 수 있을 것이고 키로거를 삽입하게 된다면 다른 이용자의 아이디와 비밀번호를 얻을 수 있을 것이다.

 

약한 문자열 강도

공격자는 다양한 로그인을 시도할 것이고, 추측 및 주변 정보를 수집하여 사용자의 계정을 탈취할 수 있다.

 

불충분한 인증

공격자가 중요정보 페이지에 접근을 하여 정보를 열람하거나 변조할 수 있다.

 

취약한 패스워드 복구

공격자가 다른 사용자의 패스워드를 획득할 수 있다. 이를 이용하여 다른 사용자의 계정을 탈취할 수 있고, 민감한 정보에 접근이 가능할 것이다.

 

CSRF

공격자는 사용자의 의지와는 상관없는 요청을 전송하여 사용자의 민감한 정보를 수정할 수 있다. 사용자가 A은행에 10달러를 송금하려고 하는데 공격자가 CSRF를 이용하여 은행이 아닌 자신의 계정으로 10달러를 송금하게 할 수 있다. 

 

세션 예측

세션을 공격자가 예측이 가능하면 다른 세션에 접속이 가능할 수 있고, 공격자는 이를 이용하여 민감한 정보에 접근이 가능하다.

 

불충분한 인가

공격자가 이 취약점을 이용하면 URL을 변경하여 관리자 글쓰기 페이지로 이동해서 게시글을 작성할 수 있고, 민감한 데이터에 접근을 할 수 있을 것이다.

 

불충분한 세션 만료

세션이 만료되지 않으면 공격자는 이 세션을 활용하여 불법적인 접근을 시도할 수 있다.

 

세션 고정

세션이 고정되어 있다면 공격자는 권한 우회를 이용하여 공격을 시도할 것이다.

 

자동화 공격

공격자는 무차별 대입 공격 및 자동화 공격으로 서버의 자원을 고갈시키려고 할 것이다. 

 

프로세스 검증 누락

접근 제어가 미흡할 경우 공격자는 중요한 페이지에 대한 접근이 가능해진다. 이를 이용하여 데이터를 탈취할 수 있다.

 

파일 업로드

공격자는 웹 쉘을 업로드하고 웹서버의 시스템 권한을 획득할 것이다. 이후 로그와 흔적을 지우게 된다면 공격자는 웹 쉘 접속 시 원격으로 접속한 것과 비슷한 상태가 될 것이고, 공격자는 웹서버를 제어할 수 있게 된다.

웹서버의 파일을 삭제, 수정과 같은 기능을 이용할 수 있고, DB의 정보를 유출하거나, 악성 스크립트를 삽입해서 다른 사용자들의 PC를 공격할 수 있다.

 

파일 다운로드

공격자가 파일이나 웹 페이지의 경로를 알게 된다면 파일 다운로드 취약점을 이용하여 웹페이지의 소스코드나 DB 데이터를 다운로드할 수 있다.

 

관리자 페이지 노출

관리자 페이지가 노출되는 것만으로도 공격자의 타겟이 되고, 공격자는 Brute Force와 SQL Injection을 이용히여 로그인 인증을 우회해서 접속을 할 수 있을 것이다.

이렇게 우회해서 접속을 한다면 공격자는 관리자 계정을 탈취하게 될 것이고, 이를 이용하여 DB의 정보를 유출시킬 수 있다.

 

경로 추적

공격자는 URL이나 파라미터를 변조하여 웹 서비스의 상위 디렉터리에 접근하여 중요한 정보를 탈취할 수 있다.

 

위치 공개

공격자는 백업 파일 등을 이용하여 불필요하게 존재하는 디폴트 페이지를 이용하여 시스템 정보를 확인할 수 있고 관리자 페이지를 이용하여 관리자 권한을 획득할 수 있다.

 

데이터 평문 전송

데이터가 평문으로 전송이 되면 공격자는 패킷을 도청해서 중요한 정보를 확인할 수 있고, 중요한 정보를 수집하여 다른 공격에 악용을 할 수 있을 것이다.

 

쿠키 변조

공격자가 쿠키를 변조하면 다른 사용자의 세션을 획득할 수 있게 되고, 이로 인해서 중요한 정보를 유출하거나 변조가 가능하다.