WEB 28가지 취약점 정리
1. 버퍼오버플로우(BO)
내용 : 대향 입력값에 대한 적절성 점검 여부 확인
판단기준
- 양호 : 대량 입력값에 대해 에러페이지 및 오류 페이지 X
- 취약 : 대량 입력값에 대해 에러페이지 및 오류 페이지 O
조치방법 : 범위를 넘어선 대량 입력값에 대해 에러페이지 및 오류 페이지 X
2. 포맷스트링(FS)
내용 : 포맷 스트링 취약점 존재 여부 확인
판단기준
- 양호 : 임의의 문자열에 대해 점검로직 O
- 취약 : 임의의 문자열에 대해 점검로직 X
조치방법 : 임의의 문자열 점검로직 구현, 서버 최신버전 설치
3. LDAP 인젝션(LI)
내용 : LDAP 인젝션 존재 여부 확인
판단기준
- 양호 : LDAP 인젝션 쿼리 점검 로직 있을 경우
- 취약 : LDAP 인젝션 쿼리 점검 로직 없을 경우
조치방법 : LDAP 인젝션 점검 로직 구현, 지정된 문자열만 허용
4. 운영체제 명령 실행(OC)
내용 : 운영체제로부터 명령어를 불러와 실행 가능 여부
판단기준
- 양호 : 운영체제 명령어 입력 검증
- 취약 : 운영체제 명령어 실행
조치방법 : 임의 명령어 입령 검증 로직 구현, 웹방화벽 검증
5. SQL 인젝션 (SI)
내용 : SQL 인젝션 실행 가능 여부
판단기준
- 양호 : SQL 인젝션 관련 검증 로직 존재 및 인젝션 불가능
- 취약 : SQL 인젝션 관련 검증 로직 존재하지 않고 인젝션 가능
조치방법 : 인젝션 관련 특수문자 검증 로직 O 에러페이지가 아닌 정상페이지 출력
, 방화멱 룰셋 구현
6. SSI 인젝션(SS)
내용 : SSI 인젝션 실행 가능 여부
판단기준
- 양호 : SSI 인젝션 입력값 검증
- 취약 : SSI 인젝션 입력값 검증X
조치방법 : 검증로직 추가 구현
7. Xpath 인젝션(XI)
내용 : Xpath로 인한 상위 디렉토리 리스트 누출 여부 점검
판단기준
- 양호 : 검증 O
- 취약 : 검증 X
조치방법 : 검증로직 추가
8. 디렉터리 인덱싱(DI)
내용 : 디렉터리 인덱싱 관련 취약점 여부 점검
판단기준
- 양호 : 파일리스트 노출X
- 취약 : 파일리스트 노출
조치방법 : 서버설정 -> 파일리스트 노출 X
9. 정보 누출
내용 : 에러페이지 노출
판단기준
- 양호 : 에러페이지 별도 지정
- 취약 : 에러페이지 X +중요정보 노출
조치방법 : 에러페이지 지정
10. 악성 콘텐츠(CS)
내용 : 악성콘텐츠 실행 여부
판단기준
- 양호 : 악성콘텐츠 실행되지 않도록 로직 구현
- 취약 : 악성콘텐츠 실행 됨
조치방법 : 악성콘텐츠 실행 불가능하도록 로직 구현
11. 크로스 사이트 스크립트(XS)
내용 : 크로스 사이트 스크립트 취약점 존재 여부 확인
판단기준
- 양호 : 특수문자 및 XSS 검증 로직&필터링 존재
- 취약 : 특수문자 및 XSS 검증 로직&필터링 존재X, HTML 입력, 실행O
조치방법 : 게시판 자료실 URL 검증로직 추가 or 입력은가능하나 실행은 불가능하도록
, HTML 필요한 코드만 가능하도록
12. 약한 문자열 강도(BF)
내용 : 문자열 점검 강도가 높은지 여부
판단기준
- 양호 : 관리자 ID 혹은 PW 유추 불가능
- 취약 : 관리자 ID 혹은 PW 유추 가능할 정도의 문자열 강도
조치방법 : ID,PW 체크로직 추가, 문자열 점검 로직 구현 + 10자 2종류 + 8자 3종류 이상
13. 불충분한 인증(IA)
내용 : 중요page 접근시 인증절차 존재 여부 확인
판단기준
- 양호 : 중요 page 접근시 인증절차 존재
- 취약 : 중요 page 접근시 인증절차 존재X
조치방법 : 중요 page 접근시 인증절차 구현
14. 취약한 패스워드 복구(PR)
내용 : 패스워드 복구 과정 취약점 확인
판단기준
- 양호 : mail이나 sms로 전송되고, 복구된 pw가 예측 불가능한 안전한 알고리즘사용
- 취약 : 즉각적으로 pw 복구되어 보여지고, 안전한 알고리즘 사용X
조치방법 : mail이나 sms로 전송하도록하고, 안전한 알고리즘을 사용한다.
15. 크로스사이트 리퀘스트 변조(CSRF)
내용 : 인증 정보 변조 여부 확인
판단기준
- 양호 : 입력값 검증 O
- 취약 : 입력값 검증 X, HTML 입력, 실행
조치방법 : 입력값 검증 로직, 필터링 추가
16. 세션 예측(SE)
내용 : 세션이 예측 가능한지 여부 확인
판단기준
- 양호 : 세션 예측 불가능하도록 로직
- 취약 : 세션 예측 가능
조치방법 : 세션 예측 불가능하도록 로직
17. 불충분한 인가(IN)
내용 : 민감한 데이터 접근과 수정에 있어 추가 인증이 존재하는가?
판단기준
- 양호 : 중요 페이지 접근시 2차 인증 존재 여부와 URL만으로 로그인 없이 접근 불가
- 취약 : 중요 페이지 URL로 로그인 없이 타인 중요 페이지 접근 가능
조치방법 : 중요 페이지 추가 인증 로직
18. 불충분한 세션 만료(SC)
내용 : 세션 유지 시간이 지정되어있지 않거나 너무 길게 되어 있는 경우 확인
판단기준
- 양호 : 세션 유지 기간이 적절하게 지정되어있는 경우
- 취약 : 세션 유지기간이 적절하지 않고 길거나, 지정되어 있지 않고 재사용 가능
조치방법 : 세션 유지 시간 적절히 설정, 종료 로그아웃 설정
19. 세션 고정
내용 : 세션 키 값이 고정되어있거나, 재접속시 변경되지 않고 동일한 키 값 사용
판단기준
- 양호 : 키 값이 고정되어있지 않고 안전한 알고리즘으로 재분배될 경우, 기존 파기
- 취약 : 키 값이 고정되어있고 예측 가능한 경우
조치방법 : 세션 키 값을 안전한 알고리즘으로 재분배 로직 구현, 기존 파기
20. 자동화 공격(AU)
내용 : 자동화 공격으로 인해 다수 프로세스 실행
판단기준
- 양호 : DATA의 대량 통제O
- 취약 : DATA 대량 통제X
조치방법 : 대량 사용 통제 로직, 방화벽 룰세 적용으로 대량 프로세스 요청 차단
21. 프로세스 검증 누락(PV)
내용 : 인증 필요한 주요 페이지에 접근 제어 확인
판단기준
- 양호 : 로그인이나 인증 없이 하위 URL을 직접 접근 불가능
- 취약 : 로그인 하지 않고 하위 URL을 직접 접근 가능
조치방법 : 인증 필요한 페이지별 권한 체크 로직 구현
22. 파일 업로드(FU)
내용 : 게시판, 자료실 등에 조작된 server side script 파일 업로드 및 실행 가능 여부
판단기준
- 양호 : 업로드 파일 확장자 검증
- 취약 : 업로드 파일 확장자 검증X
조치방법 : 업로드 파일 확장자 검증 로직 구현 및 실행 권한 제거
23. 파일 다운로드(FD)
내용 : 파일 저장 허용된 디렉터리 외 다른 디렉터리 접근 가능여부
판단기준
- 양호 : 다운로드 파일이 저장된 디렉터리 이외에 접근 불가
- 취약 : 다운로드 파일이 저장된 디렉터리 이외에 접근 가능
조치방법 : 다운로드시 접근 경로 이외의 디렉터리와 파일에 접근할 수 없도록 구현
24. 관리자 페이지 노출(AE)
내용 : 관리자 페이지가 유추하기 쉬운 URL로 접근 가능한지 여부
판단기준
- 양호 : 유추하기 쉬운 URL로 관리자 페이지 접근 불가능
- 취약 : 유추하기 쉬운 URL로 관리자 페이지 접근 가능
조치방법 : 관리자 페이지를 URL을 유추하기 어렵게 변경, 지정된 IP만 접근가능하게 함, 2차 인증절차(otp, vpn 등)
25. 경로 추적(PT)
내용 : 파일 또는 디렉터리의 접근 통제 여부 점검
판단기준
- 양호 : 상위 디렉터리 접근 불가
- 취약 : 상위 디렉터리 접근 가능
조치방법 : 최상위 디렉터리를 웹사이트 root로 제한해 시스템 루트 디렉터리로 접근 제한
26. 위치공개(PL)
내용 : 파일이나 디렉터리 위치 예측 가능 및 불필요한 파일 존재 여부
판단기준
- 양호 : 불필요한 파일 존재X, 샘플페이지 X
- 취약 : 불필요한파일 O, 샘플페이지O
조치방법 : 불필요한 파일 삭제, 샘플페이지 삭제
27. 데이터 평문 전송(SN)
내용 : 서버, 클라이언트 간 통신시 데이터의 암호화 여부
판단기준
- 양호 : 중요 구간 암호화 통신 적용
- 취약 : 중요 구간 암호화 통신 적용X
조치방법 : 중요구간 암호화 통신 적용
28. 쿠키 변조
내용 : 쿠키 사용여부 및 안전한 알고리즘으로 암호화여부
판단기준
- 양호 : server side session, 안전한 알고리즘 쿠키
- 취약 : client side session, 안전하지 않은 알고리즘 쿠키
조치방법 : server side session, 안전한 알고리즘 쿠키 사용
