Security_웹 서버 취약점 및 해킹 분석

웹 서버 취약점 

디렉터리 리스팅(취약점)

• 웹 서버에 접속자가 디렉터리 구조나 파일명을 파악하고 다운로드 할 수 있게 함
• 공격자가 웹 서버 구조 파악 후 정보를 수집할 위험이 존재
• 웹 서버를 기본적으로 설치하고 별도 보안이 없을 경우 공격이 흔히 발생됨

웹 서버 버전의 노출(취약점)

• 우분투는 오류 페이지에 웹 서버 기본 정보 노출됨
• 공격자가 서버 버전을 확인할 경우 해당 버전의 취약점을 집중 공략하여 공격이 가능

SQL 인젝션 공격(해킹)

• 어플리케이션과 데이터베이스를 연동하여 통신하는 과정에서 이루어지는 공격
• 주로 인증 과정을 우회하여 계정에 접근하거나 특정 명령어를 실행

XSS(취약점)

• 웹사이트에서 주로 나타나는 취약점으로 게시판에 글을 작성할 때 사용자가 입력한 값을 검사하지 않은 경우 발생
• 게시판 악성 스크립트를 삽입하여 쿠키, 세션 정보등을 탈취
• 게시판에 자바 스크립트, HTML 태그를 입력해도 잘 작동된다면 XSS 취약점이 존재 

파일 업로드(취약점)

• 파일을 업로드할 때 파일 유형을 검증하지 않으면 발생
• 웹 서버에 .asp .jsp등 웹 언어를 업로드 할 수 있다면 파일 업로드에 취약점 존재
• 웹 쉘을 업로드하여 공격자가 웹 서버에 악성 코드를 배포하는데 활용

파일 다운로드(취약점)

• 다운로드하는 파일의 위치나 경로가 노출되거나 추측할 수 있는 경우 발생
• 공격자는 파일 경로나 추측 가능한 정보를 통해 파라미터 변조와 같이 비정상적 접근하여 원하는 경로로 접근하거나 특정 파일을 다운
• 파일을 업로드 할시에, 실저 서버에는 MD5 해서값으로 파일을 저장하고 저장된 파일 명은 별도 파일 DB 테이블을 운영하여 다운로드 시 원래 파일명으로 변환하여 보호

차별 공격(해킹)

• 특정 계정에 대해 로그인을 수 없이 시도하는것을 의미
• 최근에는 인증 절차에 비밀번호 횟수 제한이나 캡차를 결합하여 자동화된 무차별 대입 공격을 대응

* 캡차(CAPTCHA): 로봇인지 사람인지 확인하기 위해 사용하는 기술(왜곡된 문자입력, 그림찾기)

 

 

해킹 사고 분석

 웹 해킹 사고가 발생했을 시 로그를 분석하여 해킹 시도에 대한 정보를 파악 할 수 있다.

일반적으로 웹 서버에서는 접근 로그와 오류 로그가 남는다.

 

웹 로그 분석

 

 접근 로그는 /var/log/apache2에 위치하며 구조는 아래와 같다.

 

해킹은 짧은 시간 안에 많은 로그 기록 요청이 발생되는 특징이 있다.

웹 해킹 자동화 도구를 많이 사용하는 것이 요인이다.

일반적으로 웹 로그를 실시간으로 감시하기 어렵기 때문에 ESM과 같은 보안 관제 솔루션에

로그를 보내 분석하고 해킹 시도 패턴을 탐지한다.