이 자료는 정보보안 패스파인더 강의를 토대로 작성되었습니다.
OWASP TOP 10
전세계 해킹 공격이 어떠한 공격이 많은지 알 수 있는 문서. 주기적으로 업데이트가 됩니다.
XSS
서버를 공격하는 것이 아니라 사용자가 대상. 주로 게시판이나 댓글에 허용되는 HTML이나 JS 코드를 통해서 공격을 합니다. 이 공격을 통해서 사용자의 정보를 탈취할 수도 있으며 사용자의 정보를 이용해서 다른 게시물을 올리는 등의 행위를 할 수 있습니다.
SQL Injection
SQL 쿼리문을 이용해서 시스템 접근 혹은 로그인 우회를 할 수 있습니다.
파일 업로드
PHP, JSP, ASP, 이미지, 영상에 코드를 넣어서 업로드하여 시스템 권한을 획득하는 공격. 대표적으로 Web Shell 공격이 있습니다. 또는 좀 더 넓게 보면 한글 파일에 악성 스크립트를 합친 후에 사용자가 해당 파일을 다운로드 받으면 오염시키는 공격이 있습니다.
디렉토리 노출
URL에 "../../"와 같은 구문을 붙여서 상위 혹은 하위 디렉토리에 무엇이 있는지 탐색하는 공격
쿠키 또는 프록시 변조
사용자의 로컬 컴퓨터에 저장되어 있는 쿠키 정보를 탈취하여 해커가 사용자가 의도하지 않은 행위를 하게 만들거나 클라이언트와 서버 사이에 프록시 서버를 놓고 전송되는 패킷을 변조시키는 공격을 의미합니다.
DBD 공격
사용자들이 자주 방문하는 웹사이트의 소스 코드에 'iframe', 'script', 'meta', 'embed'와 같은 리디렉션 코드를 삽입하고, 사용자가 해당 웹사이트를 이용할 때 바로 악성코드가 유포되어 있는 사이트로 이동되거나 악성 유표 사이트의 징검다리가 되는 페이지로 이동되는 등의 행위를 하게 만드는 것을 의미합니다.
에러노출과 구글해킹
구글 검색 엔진을 통한 해킹 방법으로 구글 검색 시 연산자를 통해서 원하는 값을 가져오는 방법입니다.
예로 들어서 홈페이지에 게시되어있지는 않지만 DB백업 파일이나 Admin URL을 구글 검색으로 접근하는 것이 있습니다.
