정보보안 과정 Day116 : 웹 보안 시작 (진단기준 / HTTP 프로토콜)

 

 

 

 

[목차]

 

 

1. 기술적 진단

2. HTTP 프로토콜

 

 

 

 

---

 

 

 

[기술적 진단]

 

 

 

1. 기술적 진단

진단 항목 및 방법 등의 결정을 위한 평가계획수립 절차를 합의 해야함

 

국내의 경우

컨설팅을 주로 하는 회사와 기술적인 부분을 주로 하는 회사로 나뉘어져 있다.

컨설팅은 보안 법률 및 보안 인증 제도와 관련한 부분에 강함.

 

 

 

2. 모의해킹 점검 항목

- 사용자 인증 : 인사된 사용자 여부 식별(identification)에 대한 취약점 점검

- 사용자 세션관리 : 유/무선 환경의 네트워크 Session, 쿠키 등에 대한 취약점 점검

- 암호화 및 전송 보안 : 중요 정보 암호화 전송에 대한 취약점 점검

- 접근제어 및 권한 : 비정상적인 권한을 이용하여 접근할 수 있는 취약점 점검

- 데이터 유효형 : 입력변수 유효성 점검 및 막의적인 데이터 대응 관련 취약점 점검

- 웹 취약점 : 웹 보안영역의 전반적인 문제점으로 인하여 발생하는 취약점 점검

- 사용자 개인정보보호 : 인가된 사용자 여부 식별(identification)에 대한 취약점 점검

- 정보노출 : 배너 정보, Open Port 정보, 임시/백업 파일 등의 정보 획득

- 권한획득 : 취약점 계정/비밀번호, 취약한 버전의 서비스 등을 이용한 권한 획득

 

 

 

 

3. 모의 진단

 

 

 

 

4. 진단 기준

 

대표 사이트 :

1) CVE (Common Vulnerabilities and Exposures)

http://cve.mitre.org

CVE-(연도)-(순서)

CVE-2013-0001

 

 

2) CWE (Common Weakness Enumeration)

http://cwe.mitre.org

미국방성 산하의 mitre라는 기관에서 다양한 개발언어에 대한

740여가지의 소스코드 취약점을 정의한 데이터베이스

 

국내문서 'SW 개발보안 가이드"를 통해 CWE 번호 확인이 가능

 

 

 

3. OWASP (Open Web Application Security Project)

www.owasp.org

 

 

 

2013 -> 2017 바뀐 부분

 

 

 

 

4. KISA(국내)

점검기준 = 블랙박스 테스트

 

 

 

 

 

 

 

5. 안행부 (국내)

점검기준 = 화이트박스(소스코드 보면서 검사) 형태

 

 

 

 

 

 

 

---

 

 

 

 

[HTTP 프로토콜]

 

 

 

1. HTTP Request

 

 

Method 방식 (데이터 처리 방식)

 

1) GET : Header만 사용, 내용이 없고 키워드가 정해져 있으며 전송용량

(2,083자로 제한/2000바이트 정도)이 작다(URI를 통해 요청)

모든 정보가 헤더에 포함되어 있다.

 

carriage return(엔터키) :

windows : \r\n

Linux : \n

 

URI는 URL을 포함

 

 

 

 

 

 

2) POST : 바디부분을 사용하기 때문에 용량 크기가 크다.

헤더에는 페이지 정보만 보여지고 바디에 입력한 값 등이 포함되어 있다.

 

 

 

 

 

 

3) 메소드 실습

 

 

 

# telnet IP 80

GET / HTTP/1.1

Host: IP

 

 

# telnet IP 80

POST / HTTP/1.1

 

 

# telnet IP 80

HEAD / HTTP/1.1

Host: IP

 

 

# telnet IP 80

OPTIONS / HTTP/1.1

Host: IP

 

 

# telnet IP 80

PUT /test.txt HTTP/1.1

 

 

# nmap IP -p 80 --script=HTTP-methods

 

 

 

 

 

 

2. HTTP Response (응답코드)

200 정상

300 리다이렉트

400 클라이언트쪽 에러

500 서버쪽 에러

 

 

 

 

# cutl http: (바디부분)

# curl -I http: (헤더부분)

 

 

# telnet IP 80

GET / HTTP/1.1 (헤더&바디 같이 확인)

 

 

 

 

 

3. 세션 / 쿠키

세션 ID를 전송하는 방식이 쿠키를 통해 전송

 

 

세션 :

연결상태를 유지하기 위한 임의의 값

값 기준은 개발자가 정한다.

메모리상에 값이 만들어지고(임시적) 클라이언트한테 주면

클라이언트가 세션값을 메모리에 올린다.

다음부터 연결시 세션값을 보고

 

 

쿠키 :

서버가 클라이언트한테 제공하는 정보들.

들어가는 정보는 개발자가 정한다.

로컬 파일에 임시로 저장해 두고 다음에 들어갈때 해당 정보를 재사용.

사용자 정보를 기억하기 위해 만든 인위적인 값이다.

(프로토콜 자체가 세션을 유지하지 않는 State-Less 방식이기 때문)