[SK shieldus Rookies 19기] 11 - 인증 우회 (Burp Suite Academy)

[SK쉴더스 Rookies 19기] 클라우드 기반 스마트 융합보안 과정

---

https://portswigger.net/web-security/access-control/lab-unprotected-admin-functionality

Lab: Unprotected admin functionality | Web Security Academy

 

가. 문제점

[CASE 11] 인증 우회 

Web Security Academy 서비스 내 일부 페이지에서 사용자 인증에 대한 검증이 부재하여 비로그인 상태에서 관리자 page에 접근이 가능하며 이로 인해 불필요한 정보의 노출 및 변조의 가능성이 존재합니다.

그림 1. 메인 페이지 접속

 

그림 2. /robots.txt 경로로 접근하여 /administrator-panel 경로 확인

 

그림 3. /administrator-panel 경로 접근 후 user delete 기능 확인

 

그림 4. user carlos를 delete 진행

 

그림 5. 비인증 상태로 /administrator-panel 경로에 접근하여 특정 user를 delete 완료

 

나. 관련 URL

번호	경로	URL
1		/robots.txt
2		/administrator-panel
3	administrator-panel > Delete	/administrator-panel/delete?username=

 

다. 해결 방안

인증, 권한, 제어, 확인 등의 과정을 처리하는 부분은 Server Side Language로 구현하고, 인증이 필요한 페이지의 경우 해당 페이지 주소를 직접 입력하여 접근하지 못하도록 각 페이지에 대하여 로그인 체크 및 권한체크를 하도록 접근제어통제(ACL)를 수립하여 계정권한에 맞게 접근제어를 설정해야합니다.