웹해킹의 정의와 SQL 인젝션, XSS 공격기법에 대하여.

728x90

SMALL

웹 해킹이란?

웹 해킹(Web hacking)은 웹 사이트의 취약점을 공격하는 기술적 위협으로,

웹 페이지를 통하여 권한이 없는 시스템에 접근하거나 데이터 유출 및 파괴와 같은 행위를 말한다.

유형으로는 웹 엔진 취약점을 이용한 해킹과 웹 애플리케이션의 취약점을 이용한 해킹, 각종 웹 서버 및 미들 웨어 기본 제공 샘플 파일을 이용한 해킹 등이 있다.

[출처: http://ko.wikipedia.org/wiki/%EC%9B%B9_%ED%95%B4%ED%82%B9]

웹해킹 공격 기법들

01. SQL INJECTION : 로그인 폼 및 변수 값에 SQL 쿼리를 삽입하여 로그인 우회 DB를 변조하는 공격

02. XSS : 게시판 및 URL 파라미터에 스크립트를 삽입하여 해당 글 혹은 링크를 클릭하는 사용자의 정보를 취득하는 공격

03 파일 업로드 : ASP, PHP, JSP 와 같은 파일을 업로드하여 시스템 권한을 획득하는 공격

04. 파일 다운로드 : 파일 다운로드 처리 파라미터를 조작하여 시스템 파일에 접근하려는 공격

05. 디렉토리 인덱싱 : 특정 디렉토리로 요청할때 파일 목록이 보이는 공격

06. 관리자 페이지 노출 : ADMIN MASTER 등의 관리자 페이지 노출과 디렉토리에 대한 추가 취약점으로 인한 권한 획득 공격

07. 쿠키변조 : 쿠키내 권한관련 변조 및 도용하는 공격

08. URL 파라메터 변조 : 파라미터 변조를 통해 정상적인 절차(관리자 글 작성제한 등)를 우회하는 공격

09. 사용자 측 스크립트 변조 : 자바스크립트 및 히든필드변조를 통해 인증 권한을 도용하는 행위

10. 에러페이지 노출 : 시스템 에러를 통해 시스템 정보를 획득하는 공격

11. 중요정보 노출 : 페이지 및 파일 내에 중요 정보(주민번호 및 계좌번호, 가드번호 등)가 포함되는 경우

12. 백업파일 노출 : 백업파일 노출로 인해 시스템 로직을 파악하는 공격

13. 기본설치페이지 노출 : 웹서버 기본페이지 등의 노출

14. HTTP Method 정보노출 : PUT , DELETE 메소드를 악용하여 파일 생성이나 삭제 등의 공격

[출처] 웹해킹 공격유형1|작성자 김종환

SQL 인젝션이란?

SQL Injection 이란 Web hacking 기법 중 하나이다.
웹 애플리케이션의 백엔드에 있는 Database에 질의(쿼리를 보냄)하는 과정 사이에 일반적인 값 외에 악의적인 의도로 악성 구문을 삽입하여 공격자가 강제로 원하는 SQL 쿼리 문을 실행시키는 기법이다. 이때 Database나 시스템에 영향을 준다. 주로 사용자가 입력한 데이터를 필터링, 이스케이핑 하지 못했을 경우에 발생한다. 하지만 근래 모든 데이터베이스 엔진은 유저 입력으로 의도치 않은 동작을 하는 것을 방지하기 위해 escape 함수, prepared statement를 제공한다.