다음의 설명 및 조치 내용에 해당하는 취약점은?공격자가 사용자의 coo… | [정보보안기사 필기] 18년 1회차 기출문제 상세 페이지
1[정보보안기사 필기] 18년 1회차
다음의 설명 및 조치 내용에 해당하는 취약점은?
공격자가 사용자의 cookie 값이나 session 정보를 의 도한 사이트로 보내거나 특정한 동작을 유발하는 스크립트를 글에 삽입하여 사용자가 게시물 등을 클릭할 경우 공격자가 원하는 동작(계좌이체, 물건주문 등)이 실행되게 하는 취약점 (단, 공격 대상자가 사이트에 로그인해 있거나 유효한 cookie, session 정보를 가지고 있어야 공격이 성공할 수 있음)
1
SQL injection(sql 명령어 삽입)
2
CSRF(크로스사이트 요청변조)
3
RFI(원격 파일 포함)
4
Directory Listing(디렉터리 목록 노출)
해설
피해자의 인증된 세션을 빌려 공격자가 원하는 계좌이체·물건주문 같은 요청을 대신 실행시키는 것은 크로스사이트 요청변조(CSRF)다.
결정적 단서는 "공격 대상자가 사이트에 로그인해 있거나 유효한 cookie, session 정보를 가지고 있어야 공격이 성공"한다는 조건이다. 브라우저가 요청에 쿠키를 자동으로 실어 보내는 성질을 악용해 정상 사용자가 보낸 것처럼 위조된 요청을 서버에 전달하므로, 목적이 정보 탈취가 아니라 행위 실행에 있다.
나머지 보기는 공격 지점이 다르다.
- SQL 명령어 삽입: 입력값에 SQL 구문을 끼워 넣어 DB를 직접 조회·조작하는 서버측 취약점
- 원격 파일 포함: 외부 URL의 파일을 서버가 include 하게 만들어 원격 코드를 실행시키는 취약점
- 디렉터리 목록 노출: 웹 서버가 디렉터리 내 파일 목록을 그대로 보여 주는 설정 문제로, 피해자의 클릭이나 세션이 필요 없다
내용에 오류가 있거나 최신 법령·기준과 다른 부분이 보이면 알려주세요. 확인 후 반영하겠습니다.