Information Security (160) 썸네일형 리스트형 HTTP 응답 분할 취약점 (HTTP Response Splitting Vulnerability) * HTTP 응답 분할 취약점 : Client의 HTTP 요청 파라미터(입력)값에 개행문자(CR. LF)가 포함되어 있을 때, HTTP 응답이 2개 이상으로 분리될 수 있으며, 이에 따라 공격자가 첫 응답을 종료시킨 후, 이후 응답에 악의적 코드를 삽입, 실행 할 수 있는 취약점 개행문자 - CR (Carriage Return, \r, %0D) : 커서의 위치를 맨 앞으로 이동 시키는 개행 문자 - LF (Line Feed, \n, %0A) : 커서를 다음 행으로 이동 시키는 개행 문자 * HTTP 응답 분할 취약점 동작 방식 1) 공격자는 쿠키 생성에 사용되는 cookieValue 요청 파라미터 조작(kiwi 값 삽입) 및 개행 문자를 통해 HTTP 응답 메세지 분할 시도 2) 서버 측 login.js.. 불충분한 세션 관리 취약점 (Insufficient Session Management Vulnerability) * 불충분한 세션 관리 취약점 : 웹 상에서 사용자가 로그인을 할 시, 매번 동일 세션ID(일정 패턴 존재) 발급 또는, 세션 타임아웃을 너무 길게 설정한 경우, 공격자에 의해 세션이 탈취될 수 있는 취약점 * 공격 예시 ex) 웹 프록시를 통해 사용자가 로그인 시, 발생하는 Cookie 정보를 획득(HTTP Session Hijacking), 탈취한 세션ID로 로그인 하여, 해당 사용자의 권한으로 악성 행위 가능. * 취약점 판단 기준 : 세션 ID 분석 및 변조하여 로그인에 성공할 경우, 취약한 것으로 판단 점검 위치 행위 취약 반응 로그인 후 세션 ID 세션 값을 변조하여, 로그인 시도 다중 로그인 성공 로그인 후 세션 ID 로그인과 로그아웃을 반복하여 수집된 세션 ID의 패턴 분석 타 사용자 로그.. 파일 삽입 취약점 (File Inclusion Vulnerability) * 파일 삽입 취약점 : 공격자가 악성 서버 스크립트를 서버에 전달, 해당 페이지를 통해 악성 코드가 실행 되도록 하는 취약점 - 악성 스크립트가 삽입되는 위치에 따라, LFI(Local File Inclusion), RFI(Remote File Inclusion)으로 분류 - 경로 제한 또는, 파라미터 변조 등에 대한 필터링의 부재로 경로 접근, 파일 실행, 외부 파일 다운로드 등의 다양한 공격으로 활용 가능 * RFI (Remote File Inclusion) : 공격자가 외부 서버(공격자 서버 등)에 있는 원격 파일을 URL 파라미터에 포함, 전달하여 실행 - ex) 원격지 웹쉘 경로) http://192.168.10.5/hacker/webshell.php - 공격할 대상 페이지 URL의 파라미터에.. 파일 다운로드 취약점 (File Download Vulnerability) * 파일 다운로드 취약점 : 웹 상 파일 다운로드 시, 경로 및 파일명을 파라미터로 받아 처리하는 경우, 적절한 필터링이 없어 경로 및 파일명 조작이 가능할 시, 허용되지 않은 파일을 다운 받을 수 있는 취약점 * Directory Traversal Attack : Traversal은 여기저기 이동한다는 의미로, 허가되지 않은 디렉터리나, 파일 경로를 이동하며 접근하는 공격 * 취약점 판단 기준 : URL/파라미터 조작을 통해 임의 파일 경로 접근, 또는 파일 다운로드가 가능할 시, 취약 * 대응책 1) 허용하는 경로 이외에 디렉터리와 파일에 접근할 수 없도록 처리(문자열 필터링 등 블랙리스트 기반 차단 적용) - (유닉스/리눅스) ../, ./ - (윈도우) ..\, .\ // 다운로드 파일명에 대해 .. 파일 업로드 취약점 (File Upload Vulnerability) * 파일 업로드 취약점 : 파일 업로드 기능이 존재하는 웹 상, 업로드 파일에 대한 제어(필터링, 개수 및 크기 제한 등) 미흡으로 외부에서 파일이 업로드 될 수 있는 취약점 - 악성 웹쉘(다양한 언어로 만들며, 임의의 명령을 실행할 수 있는 Server Side Script 파일) 업로드 - 다량의 대용량 파일을 연속 전송하여 시스템 부하 및 장애 유발 등 * 공격 예시 및 대응책 1) 파일 타입 필터링 미흡으로 인한 파일 업로드 //웹쉘 파일 코드 예시 ~~~ Content-Disposition: form-data; name="upfile[]"; filename="webshell.php" Content-Type: application/octet-stream 웹 상 운영체제 명령어 실행 (OS Command Execution on Web) * 웹 상 운영체제 명령어 실행 : 웹 애플리케이션에서 시스템 명령어 실행 함수를 제공, 입력값 필터링이 제대로 이루어 지지 않은 환경에서 공격자가 시스템 명령어를 호출 할 수 있는 취약점 * 시스템 명령어 실행 취약점 운용 형태 유닉스/리눅스 명령어 연속 실행 명령어 설명 명령1 ; 명령2 명령 1,2 순차적 수행 명령1 && 명령2 명령1 결과 참일 경우 명령2 수행 명령1 || 명령2 명령1 결과 거짓일 경우 명령 2 수행 명령1 | 명령2 명령 1 수행 결과를 명령2의 표준 입력으로 전달 PHP 운영체제 명령어 실행 함수 내용 shell_exec(cmd) 실행된 명령어의 전체 결과를 반환 passthru(cmd) 실행된 명령어 전체를 바이너리 데이터로 반환 exec(cmd) 실행된 명령어의 마지막.. 인공지능 보안 (Artificial Intelligence Security) * 인공지능 보안 : 인공지능을 활용한 공격과 취약점, 방어 기술 * 공격자 입장의 인공지능 활용 : 인공지능 자체를 파괴하거나, 정보 수집에 대한 시간 단축 등 활용 가능 인공지능 대상/응용 공격 내용 Poisoning 인공지능에 대해 최소한의 오류 데이터로 오동작 유도 Evasion 인공지능에 대한 최소한의 변조로 다른 클래스로 인식 유도 Model Extract 공개 모델을 모사해서 만드는 공격 Spear Phishing 공격에 필요한 사전 준비 시간을 단축하여 공격 Deep Fake 모방, 흉내 등을 통한 가짜 뉴스 등으로 사회 혼란 가중 CAPTCHA 인간의 시각 처리를 모사하는 RCN (Research Coordination Network)을 이용한 공격 * 보안에서의 인공지능 활용 활용 대상.. 스마트 카 보안 (Smart Car Security) * 스마트 카 보안 : 자동차를 임의로 원격 조정, 무기로 이용하는 공격 발생 가능성 및 개인정보 탈취 등 위협에 대응하는 기술 - 자동차와 네트워크 연결을 보호하는 기술 - 커넥티드 카 : 네트워크 접속이 가능, 차량 내/외부 통신을 통해 진단 정보를 주고받는 영역 - 자율주행 차 : 실제 사람의 개입 없이도 스스로 판단, 목적지에 도달하는 기술 * 스마트 카 주요 보안 위협 및 대응 방안 분류 위협 대응 방안 IVN (차량 내부 네트워크 간 통신 - In Vehicle Networking) - DDOS & GPS 재밍 - GPS 스푸핑 공격 - V2X(Vehicle to Everything)의 통신 방해 - 차량 자가 진단 장치(OBD - On Board Diagnostics) 해킹 - 제어 메세지 .. 이전 1 ··· 5 6 7 8 9 10 11 ··· 20 다음
