다음 지문이 설명하는 소프트웨어 보안 약점을 고르면?특정 웹사이트에 대… | [정보보안기사 필기] 21년 2회차 기출문제 상세 페이지
1[정보보안기사 필기] 21년 2회차
다음 지문이 설명하는 소프트웨어 보안 약점을 고르면?
특정 웹사이트에 대해서 사용자가 인지하지 못한 상황에서 사용자의 의도와는 무관하게 공격자가 의도한 행위(수정, 삭제, 등록 등)를 요청하게 하는 공격을 말한다. 웹 응용프로그램이 사용자로부터 받은 요청에 대해서 사용자가 의도한 대로 작성되고 전송된 것인지 확인하지 않을 경우 발생 가능하고 특히 해당 사용자가 관리자인 경우 사용자 권한 관리, 게시물 삭제, 사용자 등록 등 관리자 권한으로만 수행 가능한 기능을 공격자의 의도대로 실행시킬 수 있게 된다.
1
크로스사이트 요청 위조 공격(CSRF)
2
크로스 사이트 스크립트(XSS)
3
경로 조작 및 자원 삽입
4
SQL 삽입
해설
사용자가 모르는 사이에 그의 인증된 세션을 빌려 공격자가 원하는 요청을 서버에 보내게 만드는 약점은 크로스사이트 요청 위조(CSRF)다.
웹 응용프로그램이 들어온 요청을 그 사용자가 실제로 의도해 보낸 것인지 검증하지 않는 것이 원인이므로, 대응은 CSRF 토큰·Referer 검증·중요 기능 재인증처럼 요청의 출처와 의도를 확인하는 방식이다. 피해자가 관리자면 권한 변경, 게시물 삭제, 계정 등록까지 그대로 실행된다.
- 크로스 사이트 스크립트는 공격자가 심은 스크립트가 피해자 브라우저에서 실행되어 정보를 탈취하는 것으로, 서버에 위조 요청을 보내는 지문의 설명과 다르다.
- 경로 조작 및 자원 삽입은 입력값이 파일 경로·자원 식별자로 쓰일 때의 문제이고, SQL 삽입은 입력값이 질의문으로 해석되는 문제여서 요청 의도 검증 부재와는 초점이 다르다.
내용에 오류가 있거나 최신 법령·기준과 다른 부분이 보이면 알려주세요. 확인 후 반영하겠습니다.