현재 위치

홈 ›› Forums ›› 공부 ›› 프로그래밍 QnA

OWASP top 10 중에 권한우회 궁금합니다..

seojh1431의 이미지
글쓴이: seojh1431 / 작성시간: 금, 2014/10/17 - 11:48오전

대부분의 웹 애플리케이션은 UI에 해당 기능을 보이게 하기 전에 기능 수준의 접근권한을
확인한다. 그러나, 애플리케이션은 각 기능에 접근하는 서버에 동일한 접근통제 검사를
수행한다. 요청에 대해 적절히 확인하지 않을 경우 공격자는 적절한 권한 없이 기능에
접근하기 위한 요청을 위조할 수 있다.

이건 OWASP top 10 중의 A7-기능 수준의접근통제 누락 부분인데요.. A7의 취약점을 토대로 공격 할 수 있는 방법이 무엇인지.. 그리고 공격 툴로는 뭐가 있는지 궁금하네요.

그냥 간단간단하게 키워드만 말씀해주시셔도 좋습니다.. 학교에서 시연하면서 발표를 해야 하는데 저는 권한 우회라는 키워드를 택 했구요.. 권한 우회라는 성질에 가장 적합한 top 10을 보니 A7이더라구요..

그래서 a7에 대해서 공격을 하는데 있어서 방법이 무엇인지.. 키워드만 좀 가르쳐주실 수 있을까요? 부탁드립니다. 권한 우회 내용이 들어 있는 책도 좀 추천 해주실 수 있을까요?

Forums: 
프로그래밍 QnA
익명 사용자의 이미지

글쓴이: 익명 사용자 / 작성시간: 금, 2014/10/17 - 12:01오후

여기서 얘기하는 기능 수준의 접근 통제는 별 특별한 내용은 아닙니다.

가령 /admin/ 이라는 관리자용 디렉토리가 있고 이 안에 다양한 페이지 파일이
있다고 할 때, 이 디렉토리가 만약 모든 사람이 접근이 가능한 부분이며 로그인을 해야 하는 부분이라고
가정할 때 보통 이 페이지 상단에는 전부 if( is_admin() ) 과 같은 문이 들어갑니다.

그런데 만약 개발자의 실수로 어느 한 페이지에서 is_admin 을 빼먹었을 경우, 일반 유저 권한으로
접근이 가능하거나 또는 아무런 권한 세션 없이도 접근이 가능하게 될 수 있습니다.
A7 에서 얘기하는 것은 이러한 부분을 말하는 것입니다. 당연히 따로 공격 툴 같은건 없습니다.

그리고 권한 우회라고 하면 굉장히 모호한 의미를 가지고 있고, 범위도 상당히 넓습니다.
웹 어플리케이션 취약점 뿐 아니라 모든 분야의 취약점을 통틀어서, 보통 권한 우회라는 단어는 잘 사용하지 않고
Privilege Escalation 이라는 용어가 가장 그나마 비슷한 의미로 많이 쓰입니다.

seojh1431의 이미지

글쓴이: seojh1431 / 작성시간: 금, 2014/10/17 - 12:30오후

니까..Privilege Escalation...키워드 감사합니다 ㅋ

댓글 달기

텍스트 포맷에 대한 자세한 정보

Filtered HTML

  • 텍스트에 BBCode 태그를 사용할 수 있습니다. URL은 자동으로 링크 됩니다.
  • 사용할 수 있는 HTML 태그: <p><div><span><br><a><em><strong><del><ins><b><i><u><s><pre><code><cite><blockquote><ul><ol><li><dl><dt><dd><table><tr><td><th><thead><tbody><h1><h2><h3><h4><h5><h6><img><embed><object><param><hr>
  • 다음 태그를 이용하여 소스 코드 구문 강조를 할 수 있습니다: <code>, <blockcode>, <apache>, <applescript>, <autoconf>, <awk>, <bash>, <c>, <cpp>, <css>, <diff>, <drupal5>, <drupal6>, <gdb>, <html>, <html5>, <java>, <javascript>, <ldif>, <lua>, <make>, <mysql>, <perl>, <perl6>, <php>, <pgsql>, <proftpd>, <python>, <reg>, <spec>, <ruby>. 지원하는 태그 형식: <foo>, [foo].
  • web 주소와/이메일 주소를 클릭할 수 있는 링크로 자동으로 바꿉니다.

BBCode

  • 텍스트에 BBCode 태그를 사용할 수 있습니다. URL은 자동으로 링크 됩니다.
  • 다음 태그를 이용하여 소스 코드 구문 강조를 할 수 있습니다: <code>, <blockcode>, <apache>, <applescript>, <autoconf>, <awk>, <bash>, <c>, <cpp>, <css>, <diff>, <drupal5>, <drupal6>, <gdb>, <html>, <html5>, <java>, <javascript>, <ldif>, <lua>, <make>, <mysql>, <perl>, <perl6>, <php>, <pgsql>, <proftpd>, <python>, <reg>, <spec>, <ruby>. 지원하는 태그 형식: <foo>, [foo].
  • 사용할 수 있는 HTML 태그: <p><div><span><br><a><em><strong><del><ins><b><i><u><s><pre><code><cite><blockquote><ul><ol><li><dl><dt><dd><table><tr><td><th><thead><tbody><h1><h2><h3><h4><h5><h6><img><embed><object><param>
  • web 주소와/이메일 주소를 클릭할 수 있는 링크로 자동으로 바꿉니다.

Textile

  • 다음 태그를 이용하여 소스 코드 구문 강조를 할 수 있습니다: <code>, <blockcode>, <apache>, <applescript>, <autoconf>, <awk>, <bash>, <c>, <cpp>, <css>, <diff>, <drupal5>, <drupal6>, <gdb>, <html>, <html5>, <java>, <javascript>, <ldif>, <lua>, <make>, <mysql>, <perl>, <perl6>, <php>, <pgsql>, <proftpd>, <python>, <reg>, <spec>, <ruby>. 지원하는 태그 형식: <foo>, [foo].
  • You can use Textile markup to format text.
  • 사용할 수 있는 HTML 태그: <p><div><span><br><a><em><strong><del><ins><b><i><u><s><pre><code><cite><blockquote><ul><ol><li><dl><dt><dd><table><tr><td><th><thead><tbody><h1><h2><h3><h4><h5><h6><img><embed><object><param><hr>

Markdown

  • 다음 태그를 이용하여 소스 코드 구문 강조를 할 수 있습니다: <code>, <blockcode>, <apache>, <applescript>, <autoconf>, <awk>, <bash>, <c>, <cpp>, <css>, <diff>, <drupal5>, <drupal6>, <gdb>, <html>, <html5>, <java>, <javascript>, <ldif>, <lua>, <make>, <mysql>, <perl>, <perl6>, <php>, <pgsql>, <proftpd>, <python>, <reg>, <spec>, <ruby>. 지원하는 태그 형식: <foo>, [foo].
  • Quick Tips:
    • Two or more spaces at a line's end = Line break
    • Double returns = Paragraph
    • *Single asterisks* or _single underscores_ = Emphasis
    • **Double** or __double__ = Strong
    • This is [a link](http://the.link.example.com "The optional title text")
    For complete details on the Markdown syntax, see the Markdown documentation and Markdown Extra documentation for tables, footnotes, and more.
  • web 주소와/이메일 주소를 클릭할 수 있는 링크로 자동으로 바꿉니다.
  • 사용할 수 있는 HTML 태그: <p><div><span><br><a><em><strong><del><ins><b><i><u><s><pre><code><cite><blockquote><ul><ol><li><dl><dt><dd><table><tr><td><th><thead><tbody><h1><h2><h3><h4><h5><h6><img><embed><object><param><hr>

Plain text

  • HTML 태그를 사용할 수 없습니다.
  • web 주소와/이메일 주소를 클릭할 수 있는 링크로 자동으로 바꿉니다.
  • 줄과 단락은 자동으로 분리됩니다.
댓글 첨부 파일
이 댓글에 이미지나 파일을 업로드 합니다.
파일 크기는 8 MB보다 작아야 합니다.
허용할 파일 형식: txt pdf doc xls gif jpg jpeg mp3 png rar zip.
CAPTCHA
이것은 자동으로 스팸을 올리는 것을 막기 위해서 제공됩니다.