±× ¿Ü¿¡µµ Ŭ¶ó¿ìµå µµÀÔ ´Ã¾î³ª¸é¼ SSRF¿Í Á¤º¸ ³ëÃâ Ãë¾àÁ¡ÀÌ ´ëµÎµÅ
[º¸¾È´º½º ¹®°¡¿ë ±âÀÚ] °ø°ÝÀÚµéÀÌ ¾Ç¼º Äڵ带 À¥»çÀÌÆ®¿¡ ÁÖÀÔÇϱâ À§ÇØ °¡Àå ¸¹ÀÌ ¾Ö¿ëÇÏ´Â °Ç XSS Ãë¾àÁ¡ÀÌ´Ù. ÀÌÀü¿¡µµ ±×·¨°í Áö±Ýµµ ±×·¯ÇÏ¸ç ¾ÕÀ¸·Îµµ ±×·² °ÍÀÌ´Ù. ÃÖ±Ù ÀÚ»ç Ç÷§Æû¿¡¼ ÁøÇàµÈ ¹ö±×¹Ù¿îƼ ÇÁ·Î±×·¥À» ÅëÇØ 12¸¸ °³ÀÇ º¸¾È Ãë¾àÁ¡À» ºÐ¼®ÇÑ ¹ö±× ¹Ù¿îƼ ¾÷ü ÇØÄ¿¿ø(HackerOne)Àº, °¡Àå ½É°¢ÇÏ°í Ä¡¸íÀûÀ̸ç ÀÚÁÖ µîÀåÇÏ´Â Ãë¾àÁ¡ÀÌ ¹«¾ùÀÎ ¼øÀ§¸¦ ¸Å°å´Ù.
![](http://www.boannews.com/media/upFiles2/2019/06/47308156_750.jpg)
[À̹ÌÁö = iclickart]
ºÐ¼® °á°ú °¡Àå ¸¹Àº Á¶Á÷µé¿¡¼ °¡Àå ¸¹ÀÌ ¹ß°ßµÇ´Â Ãë¾àÁ¡Àº XSSÀÎ °ÍÀ¸·Î ³ªÅ¸³µ´Ù. ÇÏÁö¸¸ XSS Ãë¾àÁ¡Àº °¡Àå °£°úµÇ°í ¹«½ÃµÇ´Â Ãë¾àÁ¡À̶ó´Â ÀνÄÀÌ ±ò·Á Àֱ⵵ ÇÏ´Ù. ¡°XSS Ãë¾àÁ¡ÀÌ ÀÖ´Ù°í Çؼ Ç×»ó ´ëÇü »ç°í°¡ ÅÍÁö´Â °Ç ¾Æ´Ï±â ¶§¹®ÀÌÁÒ.¡± ÇØÄ¿¿øÀÇ ÇÁ·Î±×·¥ °ü¸®ÀÚÀÎ ¹ÌÁÖ ÇÑ(Miju Han)ÀÇ ¼³¸íÀÌ´Ù.
¡°±×·±µ¥ À̹ø¿¡ ºÐ¼®Çغ¸´Ï Àνİú ½ÇÁ¦´Â Á¤¸» ¸¹ÀÌ ´Þ¶ú½À´Ï´Ù. ½Ç»ó Á¶Á÷µéÀÌ °íÄ¡±â À§ÇØ ¸¹Àº µ·À» ½ñ´Â ºÎºÐÀÌ ¹Ù·Î XSS Ãë¾àÁ¡À̾ú°Åµç¿ä. ÇØÄ¿¿ø¿¡¼ È°µ¿ÇÏ´Â ¹ö±× ÇåÅ͵éÀÌ ÃÑ 5õ 5¹é¸¸ ´Þ·¯¸¦ ¹ú¾ú´Âµ¥, ÀÌ Áß 8¹é¸¸ ´Þ·¯°¡ XSS Ãë¾àÁ¡¿¡ ´ëÇÑ °ÍÀ̾ú½À´Ï´Ù. XSS´Â Áß¿äÇÑ ¹®Á¦ÀÌ°í, ±â¾÷µéÀÌ »ó´çÈ÷ µ·À» ÅõÀÚÇÏ´Â Ãë¾àÁ¡ÀÔ´Ï´Ù.¡±
°Ô´Ù°¡ ¶Ç ´Ù¸¥ Æ®·»µå°¡ ¹ß°ßµÇ±âµµ Çß´Ù. ¡°ÇÏÀ̺긮µå Ŭ¶ó¿ìµå³ª ¸ÖƼŬ¶ó¿ìµåÀÇ µµÀÔ ºñÀ²ÀÌ ³ô¾ÆÁö¸é¼, ¼¹ö Ãø¸é¿¡¼ÀÇ ¿äû Á¶ÀÛ(SSRF) Ãë¾àÁ¡¿¡ ´õ ¸¹Àº Á¶Á÷µéÀÌ ³ëÃâµÇ±â ½ÃÀÛÇß´Ù´Â °Ì´Ï´Ù. SSRF Ãë¾àÁ¡À» ¼º°øÀûÀ¸·Î ÀͽºÇ÷ÎÀÕ ÇÒ °æ¿ì, °ø°ÝÀÚµéÀº ³»ºÎ ÀÚ¿øÀ» ÀÐ°í ¾÷µ¥ÀÌÆ® ÇÏ°í ¼öÁ¤ÇÒ ¼ö ÀÖ°Ô µË´Ï´Ù.¡±
ÀÌ·± ½ÄÀÇ ¹®Á¦´Â ¿ÂÇÁ·¹¹Ì½º ȯ°æ¿¡ Àͼ÷ÇÑ Á¶Á÷ÀÌ °©ÀÚ±â Ŭ¶ó¿ìµå·Î ȯ°æÀ» ¹Ù²Ü ¶§ ÁÖ·Î ³ªÅ¸³´Ù°í ÇØÄ¿¿øÀº ¼³¸íÇÑ´Ù. ¡°µ¥ÀÌÅÍ º¸È£ÀÇ °³³äÀÌ ´ú Á¤¸³µÇ¾ú´Ù´Â ¹æÁõÀ̱⵵ ÇÏÁÒ. ¶Ç ½É°¢ÇÏ°Ô ´ëµÎµÇ´Â Ãë¾àÁ¡Àº ¡®¾ÖÇø®ÄÉÀ̼ǿ¡¼ÀÇ Á¤º¸ ³ëÃâ ¹ö±×¡¯ÀÎ °ÍÀ¸·Î ³ªÅ¸³µ½À´Ï´Ù. ¸¶Âù°¡Áö·Î Ŭ¶ó¿ìµå¸¦ µµÀÔÇÏ´Â °æ¿ì°¡ ´Ã¾î³ª¸é¼ »ý°Ü³ª°í ÀÖ´Â ¹®Á¦ÀÔ´Ï´Ù.¡±
ÇØÄ¿¿øÀÇ ºÐ¼®¿¡ µû¸£¸é Á¶Á÷µéÀÌ °³¼ö Çϳª ´ç °¡Àå ¸¹Àº µ·À» ÁöºÒÇÏ´Â Ãë¾àÁ¡µéÀº SSRF, ±ÇÇÑ »ó½Â, ¡®ºÒ¾ÈÀü Á÷Á¢ °´Ã¼ ÂüÁ¶(IDOR)¡¯ÀÎ °ÍÀ¸·Î ³ªÅ¸³µ´Ù. ÀÌ·± Ãë¾àÁ¡µéÀº XSS¸¸Å ÀÚÁÖ µîÀåÇÏÁö´Â ¾Ê´Â´Ù. ÇÏÁö¸¸ ÇÑ ¹ø ¹ß»ýÇÒ ¶§¸¶´Ù Å« À§ÇèÀ» ¼ö¹ÝÇϱ⠶§¹®¿¡ Á¶Á÷µéÀº µ·À» ÃæºÐÈ÷ ÁöºÒÇØ°¡¸é¼ Ãë¾àÁ¡À» ÇØ°áÇÒ ÀÇÇâÀÌ ÀÖ´Â °ÍÀ¸·Î º¸ÀδÙ. ÀÌ·± ½ÄÀ¸·Î, ÀÚÁÖ µîÀåÇÏÁö ¾Ê¾Æµµ Á¶Á÷µéÀÌ ¹«¼¿öÇÏ´Â Ãë¾àÁ¡¿¡´Â ¡®»ç¾÷ ³í¸® ¿À·ù¡¯¿Í ¡®ÄÚµå ÁÖÀÔ ¿À·ù¡¯µµ ÀÖ¾ú´Ù.
ÇØÄ¿¿øÀÌ À̹ø¿¡ ¹ßÇ¥ÇÑ ¡®°¡Àå ¸¹ÀÌ ¾Ç¿ëµÇ´Â Ãë¾àÁ¡ 10¡¯°³¿Í OWASPÀÌ ¹ßÇ¥ÇÑ ¡®Å¾ 10 Ãë¾àÁ¡¡¯ ¸ñ·Ï¿¡¼ °ãÄ¡´Â °Ç ³× °¡Áö »ÓÀ̾ú´Ù. ¹Ù·Î XSS, Á¤º¸ ³ëÃâ, ÄÚµå ÁÖÀÔ µîÀ̾ú´Ù. OWASP¿¡¼ 4À§¸¦ Â÷ÁöÇß´ø XXE Ãë¾àÁ¡ÀÇ °æ¿ì, ÇØÄ¿¿øÀÌ ¹ßÇ¥ÇÑ ¸ñ·Ï¿¡ Æ÷ÇÔµÇÁö ¾Ê¾Ò´Ù.
¿Ö Â÷ÀÌ°¡ ÀÖ´Â °É±î? ÇÑÀº ¡°ÇØÄ¿¿øÀÌ »ÌÀº Ãë¾àÁ¡ ¸ñ·Ï¿¡´Â ½ÇÁ¦ ¾÷¹« ȯ°æ°ú »ç¾÷ ȯ°æ¿¡¼ ³ªÅ¸³ª´Â º¸¾È À§Çè ¿ä¼ÒµéÀÌ Æ÷ÇԵǾî Àֱ⠶§¹®¡±À̶ó°í ¸»ÇÑ´Ù. ¡°Ãë¾àÁ¡ÀÇ ¾ç¸¸À¸·Î ¼øÀ§¸¦ Á¤ÇÏ´Â °Í°ú´Â ´Ù¸¦ ¼ö¹Û¿¡ ¾ø½À´Ï´Ù.¡±
ÇØÄ¿¿øÀÌ »ÌÀº ¸ñ·ÏÀº ±â¾÷µéÀÌ °¡Àå µ·À» ¾²°í ½Í¾î ÇÏ´Â Ãë¾àÁ¡µéÀ» ´ã°í ÀÖ´Ù°í ÇÑÀº °Á¶Çß´Ù. ¡°±× ¸¸Å Çö´ëÀÇ »ç¾÷ ȯ°æ¿¡¼ ÇǺο¡ ¿Í ´ê´Â À§Çè ¿ä¼Ò·Î¼ ÀÛ¿ëÇÑ´Ù´Â °Ì´Ï´Ù. ÀÌ Ãë¾àÁ¡µéÀº Çö ½ÃÁ¡¿¡¼ °ø°ÝÀÚµéÀÌ °¡Àå ¼±È£ÇÏ´Â °ø°Ý ·çÆ®ÀÌ°í, µû¶ó¼ º¸¾ÈÀ» À§Çؼ Á¶Á÷µéÀÌ ¹Ýµå½Ã º¸°üÇØ¾ß ÇÒ Á¤º¸ÀÔ´Ï´Ù.¡±
3ÁÙ ¿ä¾à
1. ÇØÄ¿¿ø, °¡Àå ¸¹ÀÌ È°¿ëµÇ°í ÅõÀÚ¹Þ´Â Ãë¾àÁ¡ ¾Ë¾ÆºÃ´õ´Ï, XSS.
2. ±× ¿Ü¿¡ Á¤º¸ ³ëÃâ, ÄÚµå ÁÖÀÔ µîÀÌ ²ÅÈû. À¯¸íÇÑ XXE Ãë¾àÁ¡ °°Àº °æ¿ì 10À§ ¾È¿¡ ¸ø µê.
3. OWASPÀÇ Å¾ 10 Ãë¾àÁ¡°ú °ãÄ¡´Â °Ç ´Ü ³× °³ »Ó. ½ÇÁ¦ ÇöÀå¿¡¼ÀÇ »óȲÀ» ÇØÄ¿¿øÀÌ ´õ ¹Ý¿µÇÑ µí.
[±¹Á¦ºÎ ¹®°¡¿ë ±âÀÚ(globoan@boannews.com)]
Copyrighted 2015. UBM-Tech. 117153:0515BC
<ÀúÀÛ±ÇÀÚ: º¸¾È´º½º(www.boannews.com) ¹«´ÜÀüÀç-Àç¹èÆ÷±ÝÁö>