취약점 점검 (3)

WEB

 

3. 

	취약 여부	항목 중요도	항목 코드
프로세스 검증 누락	양호	상	PV

 

취약점 설명

웹 사이트의 하위 URL을 로그인하지 않고 직접 접근할 때 접근이 가능한 경우

 

보안 위협

인증이 필요한 웹 사이트의 중요(관리자 페이지, 회원변경 페이지 등) 페이지에 대한 접근 제어가 미흡할 경우 중요한 페이지에 대한 접근이 가능

 

점검

로그인 없이 게시판 접근

• view.jsp

if (userId == null) {
    response.sendRedirect("../user/login.jsp");
    return;
}

 해당 부분으로 userId가 없을 시 로그인 페이지로 리다이렉션

 

로그인 없이 글 작성 페이지 접근

• write.jsp

if (userId == null) {
    response.sendRedirect("../user/login.jsp");
    return;
}

해당 부분으로 userId가 없을 시 로그인 페이지로 리다이렉션

 

---

4.

	취약 여부	항목 중요도	항목 코드
쿠키 변조	양호	상	CC

 

취약점 설명

안전한 알고리즘이 적용되어있지 않은 쿠키(또는 Session)를 사용하거나, Client Side Session을 사용하는 경우

 

보안 위협

클라이언트에 전달되는 쿠키에 사용자 식별 값이 평문으로 노출될 경우 쿠키 변조를 통해 다른 사용자의 유효한 세션을 취득할 수 있으며, 기타 중요 정보의 유출 및 변조 가능

 

점검

HttpOnly 속성 사용