정보 누출 (주요정보통신기반시설 기술적 취약점 분석 평가 방법 상세가이드)

기준

취약점 설명

웹/앱에서 사용자와 관련되거나 서버에 관련된 정보를 노출하는 경우에 해당합니다.

노출에 해당하는 정보는 여러 가지가 있는데 아래에 대략적인 설명을 해보도록 하겠습니다.

 

사용자 관련 정보 노출 : ID, PW, 주민등록번호, 주소 등등

서버 관련 정보 노출 : 서버 관리자 및 사용자 정보, 에러를 통한 서버 버전 정보, 서버 절대 경로, 관리자 페이지, 서버 내부 정보 등등

 

위에서 말한 정보 이외에도 여러가지가 있습니다.

 

정보 누출은 진단원에 따라 그렇게 위험한 취약점으로 분류되지 않는 경우도 있지만 노출되는 정보의 중요도에 따라 위험도가 천차만별로 변하기 때문에 꼼꼼하게 봐야 할 취약점 중 하나입니다.

 

공격 방법

의외로 공격 방법은 간단하지만 대부분 정보 노출은 1차 공격으로 인해 노출되는 경우에 한하는 경우가 많습니다.

 

1차 공격으로 제한할 경우 관리자 페이지 노출과 소스코드 내 중요 정보 노출, 에러 페이지를 통한 서버 버전 정보 및 경로 노출, 패킷 내 중요 정보 노출 등이 있습니다.

 

여기에서는 소스코드 내 중요 정보 노출과 에러페이지를 통한 정보 노출, 패킷 내 정보 노출을 다뤄 보도록 하겠습니다.

 

후에 관리자 페이지 노출과 데이터 평문 전송은 항목이 따로 존재하므로 다루지 않도록 하겠습니다.

 

1. 소스코드 내 정보 노출

............

private static final String PASS = "Q!W@E#R$": //DB PW;

............

마우스 우클릭을 하면 위와 같이 나다나는 것을 확인할 수 있는데 '페이지 소스 보기'를 누르거나 F12를 눌러 소스를 확인하면 위와 같이 PW가 노출되거나 서버 내 파일 업/다운로드 경로 혹은 관리자 페이지 경로 등 서버나 사용자의 중요정보를 노출하는 경우에 정보 노출 취약점으로 확인합니다.

 

2. 에러 페이지를 통한 정보 노출 

위와 같이 에러페이지 내 서버의 절대 경로를 노출하거나 서버 버전 정보 노출 등으로 2차 공격에 사용될 수 있습니다.

 

3. 패킷 내 정보 노출

위 그림과 같이 파라미터 값을 잡았을 경우 패킷 내 서버 정보를 노출하는 경우 취약점으로 확인합니다.

 

-------------------------------------------------------------------------------------------------------------------------

 

위에 설명한 방법들 이외에도 robots.txt를 확인하는 등 여러 가지 방법이 있지만 대표적으로 가장 많이 사용되는 방법은 위와 같은 방법 들입니다.