kjh00n의 기록저장소

XSS (Cross Site Scripting)● 공격 코드(Scripting)가 서버를 이용하는 클라이언트에서 실행(Cross Site)되게 만들어 클라이언트에서 비정상적인 동작이 수행되게 하는 공격● Hacker가 Server에 있는 특정 기능을 악용해서 Client를 공격 공격 발생 원인● 동적 웹 서비스에서 클라이언트로부터 전달되는 데이터를 검증 없이 받아들일 때 발생하는 취약점 공격 대상 및 특징● 웹 서버의 서비스를 제공받는 클라이언트● 웹 서버에 직접적인 피해를 일으키는 것이 아니라 웹 서버를 경유하여 클라이언트를 공격함서버를 장악하지 않고도 사용자의 권한을 쉽게 도용할 수 있음 공격 종류Reflected XSS (= Non-Persistent XSS)● 공격자의 악성 스크립트를 대상 서버에..

WEB Session Attack● WEB Session의 관리가 안전하게 이뤄지지 않을 때 공격자가 사용자의 Session을 획득하여 사용자의 권한을 도용함 취약한 Session 관리 ● 사용자의 인증 정보가 저장될 때 Hash 또는 암호화되어 보호되지 않음 ● 인증 정보가 취약한 계정관리 기능을 통해 추측되거나 덮어쓰기가 가능함 ● 세션 ID가 URL에 노출, 적절한 시간에 타임아웃 되지 않음, 로그인 후 교체되지 않음 ● 암호화 되지 않은 연결을 통해 세션 ID 및 증명 정보가 전송됨 공격 종류● Brute Forcing Session Token, WEB Session Fixation, WEB Session Hijacking Brute Forcing Session Token● Session Toke..