취약한 HTTP 통신 및 파라미터 조작 취약점

설명

HTTP는 평문 데이터로 통신하므로 중간자 공격을 통해 중요 데이터가 노출될 수 있다.
그리고 파라미터에 입력 값 검증이 이루어지지 않으면 공격자는 파라미터 정보를 수정해 악용할 경우,
가격 변조, 개인 신상 유출, 신용카드 도용 등과 같은 피해가 발생할 수 있다.

취약점 진단

인시큐어뱅크 로그인 화면에서 입력한 아이디와 비밀번호가 평문으로 기록된다.

따라서 암호화되지 않은 데이터를 전송하는 취약점이 존재한다.

다음으로 계좌이체 기능에서 파라미터 변조가 가능한지 확인한다.



계좌번호와 금액을 입력하고 Transfer 버튼을 클릭하여 이체할 금액을 변조하여 전송한다.
변조한 패킷에서는 22222 금액이 전송되었지만, 아래 사진(ViewStatement)을 보면 변조 전 데이터인 11111 것을 

확인할 수 있다.

대응방안

① HTTPS를 적용하여 암호화 통신을 해야 한다.
② 파라미터 값을 암호화한다.
③ 세션 값 검증을 통해 다른 사용자 계정에 대한 조작을 방지해야한다.
④ 파라미터 입력값에 대한 유효성 검증은 서버에서 이루어져야 한다.