해킹 도구를 이용한 파라미터 조작

Question

취약점 조치를 할려고 하는데관리자 정보 수정을 하는데 비활성화로 수정이 불가능 한 항목(비활성화 되어있음)이프록시 도구를 이용해 조작하면 변경이 가능합니다.원래는 변경이 불가능한 항목인데 방법이 있을까요...?

Clickin · Answer

프록시 도구라는 게 뭐죠?개발자 도구인가요?아니면 fiddler처럼 패킷 스니퍼를 말하시는건가요개발자 도구에서 수정하는 부분은 완벽하게 막는 게 불가능합니다서버에서 체크하는 수밖에 없죠

양반후반 · Answer

BE와 FE를 분리해서 로직을 짜시면 됩니다.위와 같은 경우들은 일반적으로 FE에서 정상적으로 보내면 신뢰할 수 있는 데이터이니 BE에서는 별도 검증 없이 사용하면 된다라고 생각 하는 경우 발생합니다.BE에서는 API가 공개 되어 있다 생각하고 로직을 짜시면 됩니다.요청이 들어왔을때 해당 사용자가 정말 해당 작업을 수행할 권한이 있는지, 변경 가능한 상태인지, 누락된 데이터는 없는지 등등 모든 API에서 체크를 하시면 됩니다.

xml개발자 · Answer

프론트(화면, 클라이언트)에서 막아봐야 파라미터 조작이 가능합니다.변조된 데이터를 막는 방법은 벡엔드(서버)에서 직접 규칙을 만들어서 막는 방법뿐입니다.한국교육평가원의 홈페이지도 그랬습니다수능 점수 공개 날짜 이전이였는데.. 파라미터 변조로 조회가 가능했죠.https://www.etnews.com/20191202000279

mirheeoj · Answer

클라이언트를 어떤 식으로 새로 짜도 변경이 불가능해야 합니다. 즉, 권한이 없는 동작은 서버단에서 막아야 된다는 뜻입니다. 클라이언트단의 비활성화는 보여주기용일 뿐이고 실제 권한제어에 사용되는 것은 별 의미가 없습니다. 유저 권한과 그룹 권한 정보를 사용해 서버에서 API 실행시마다 확인을 해주시는 것이 한 방법입니다.

해킹 도구를 이용한 파라미터 조작

4개의 답변

Q&A 목록