웹 애플리케이션의 해킹에 대한 사례 연구

이 사례 연구에서 잘 알려진 응용 프로그램 보안 전문가 인 Caleb Sima는 클라이언트의 웹 응용 프로그램. 보안 위험을 발견 한이 예는 개인 정보를 보호하는 데 도움이되는 유용한 이야기입니다.

상황

Sima는 웹 응용 프로그램 침투 테스트를 수행하여 유명한 금융 웹 사이트의 보안을 평가했습니다. 주요 금융 사이트의 URL 만 있으면, Sima는 조직에 존재하는 다른 사이트를 찾은 다음 Google을 사용하여 가능성을 검색하기 시작했습니다.

Sima는 처음에는 메인 서버에 대해 자동 스캔을 실행하여 낮은 매달린 과일을 발견했습니다. 이 스캔은 웹 서버 버전 및 기타 기본 정보에 대한 정보를 제공했지만 추가 연구 없이는 유용하지 못했습니다. Sima가 스캔을 수행하는 동안 IDS와 방화벽 어느 것도 그의 활동을 발견하지 못했습니다.

Sima는 초기 웹 페이지에서 서버에 요청을 내 렸습니다. 이로 인해 흥미로운 정보가 반환되었습니다. 웹 응용 프로그램은 많은 매개 변수를 수락하는 것으로 보였지만 씨마 (Sima) 씨가 계속 사이트를 탐색 할 때 그는 URL의 매개 변수가 동일하게 유지되는 것을 확인했습니다.

미스터. Sima는 URL 내의 모든 매개 변수를 삭제하여 쿼리 할 때 서버가 반환 할 정보를 확인하기로 결정했습니다. 서버가 응용 프로그램 환경의 유형을 설명하는 오류 메시지로 응답했습니다.

Sima는 애플리케이션에 대한 Google 검색을 수행하여 세부적인 문서를 작성했습니다. 미스터 시마 (Sima)는이 정보에서 응용 프로그램의 작동 방식과 기본 파일의 존재 여부를 보여주는 몇 가지 기사와 기술 노트를 발견했습니다. 실제로 서버에는 이러한 기본 파일이 여러 개 있습니다.

미스터. Sima는이 정보를 사용하여 응용 프로그램을 자세히 조사했습니다. 그는 내부 IP 주소와 응용 프로그램이 제공하는 서비스를 신속하게 발견했습니다. Mr. Sima가 관리자가 실행중인 버전을 정확히 알게 된 후 다른 사람이 찾을 수있는 것을보고 싶었습니다.

Sima는 명령문 내에 & 문자를 추가하여 응용 프로그램의 URL을 계속 조작하여 사용자 정의 스크립트를 제어했습니다. 이 기법을 사용하여 모든 소스 코드 파일을 캡처 할 수있었습니다. Sima는 VerifyLogin을 포함하여 흥미로운 파일 이름을 언급했습니다. htm, ApplicationDetail. htm, CreditReport. htm 및 ChangePassword가 있습니다. htm.

Sima는 서버에 특수 형식 URL을 발행하여 각 파일에 연결하려고 시도했습니다.서버는 각 요청에 대해 로그인하지 않은 사용자 (User not logged in User) 메시지를 보내고 인트라넷에서 연결해야한다고 설명했습니다.

결과

Sima는 파일의 위치를 ​​알고 연결을 감지하고 ApplicationDetail을 결정할 수있었습니다. htm 파일은 쿠키 문자열을 설정합니다. URL을 거의 조작하지 않으면 Sima가 대박을 쳤습니다. 이 파일은 새로운 고객 응용 프로그램이 처리 될 때 고객 정보와 신용 카드를 반환했습니다. CreditReport. htm은 씨마 씨에게 고객 신용 보고서 상태, 사기 정보, 거부 된 애플리케이션 상태 및 기타 민감한 정보를 볼 수있었습니다.

교훈: 해커는 웹 애플리케이션을 돌파하기 위해 다양한 유형의 정보를 활용할 수 있습니다. 이 사례 연구의 개별 악용 사례는 경미한 것이었지만, 결합하면 심각한 취약점이 발생했습니다.

Caleb Sima는 Internet Security Systems의 X-Force 팀의 창립 회원이었으며 침투 테스트 팀의 첫 번째 멤버였습니다. Sima 씨는 SPI Dynamics (나중에 HP에서 인수)를 공동 설립하고 SPI Dynamics의 애플리케이션 보안 연구 및 개발 그룹 인 SPI Labs의 이사로 재직했습니다.