애플리케이션3 애플리케이션 보안 [두 번째 정리] 안녕하세요 첫 번째 시간에 이어서 애플리케이션 보안 두 번째 정리를 시작하도록 하겠습니다. 웹 스캔 도구 활용 1. 버전 정보 노출 여부 확인 2. 크롤링 작업 - 디렉터리 구조 파악 3. 무작위 대입 공격 - 불필요한 파일 존재 여부, 접근 제어 미흡 디렉터리 등 ex ) Nikto, OWASP ZAP, dirb 웹 스캔 도구 활용을 하기 위해 먼저 실습 환경을 구성하도록 합니다. 칼리 리눅스 ifconfig 로 IP 주소를 확인합니다. 빕 박스에서도 IP 주소를 확인합니다. NMAP 을 통해서 열려있는 포트를 확인할 수 있습니다. 또는, dirb 로 디렉토리 구조를 점검할 수 있습니다. 장점은 속도가 너무 빠르다는 것 입니다. wordlists 파일 /usr/share/dirb/wordlists/co.. 2024. 3. 23. 애플리케이션 보안 [세 번째 정리] 안녕하세요 ! 이번 시간은 애플리케이션 보안 세 번째 시간에 대해 정리하도록 하겠습니다. OWASP TOP 10 기준 - 톰캣 취약점 : 접근제어 미흡, 기본 계정이 존재한다. - webdav 취약점 : 보안 설정 미흡하다. 1. 인증 처리 미흡 - 관리자 권한 획득 할 수 있는 것. 관리자 페이지가 있어요 ! - > 10페이지 ? -> 권한 부여 ?! 관리자에서 사용하는 특정 파라미터 값 조작 / 쿠키 값 조작 ?! - 회원가입 단계에서 주민번호, 중요정보 우회 ?! - 다른 사용자의 게시물, 정보 조회/ 수정 ?! 멀티팩터 - 멀티채널인증 ! 2. 중요 정보 포함 여부 ! - 클라이언트 스크립트에서 중요 정보 ( HTML, JAVASCRIPT ) value - "" 파라미터 값 ! ~ 개발 서버 ->.. 2024. 3. 19. 애플리케이션 보안 [첫 번째 정리] 안녕하세요 ! 애플리케이션 보안에 대해서 글을 써보려고 합니다. 첫 번째 정리여서 간단하게 정리하도록 하겠습니다. 애플리케이션 보안 애플리케이션 보안은 소프트웨어 개발 및 운영 과정에서 발생할 수 있는 다양한 보안 위협으로부터 애플리케이션을 보호하는 것을 의미합니다. 이것은 소프트웨어가 공격으로부터 안전하고 사용자의 개인 정보 및 시스템 자산을 보호할 수 있도록 하는 것을 목표로 합니다. 1. 인증 및 인가 사용자의 신원을 확인하고, 해당 사용자가 액세스 할 수 있는 리소스에 대한 권한을 부여하는 것입니다. 취약점 : 약한 인증, 부적절한 인가, 세션 관리의 부적절한 처리 등 2. 데이터 보호 민감한 데이터를 안전하게 저장, 전송 및 처리하는 것을 의미합니다. 취약점 : 데이터베이스 인젝션, 크로스 사이.. 2024. 3. 18. 이전 1 다음
