본인인증 후 URL 파라미터 변조

Question

안녕하세요.취약점 조치 중 궁금한게 있어 문의 남깁니다.저희 홈페이지가 아이디를 생성할려면 본인인증을 거져 신청해야 하는데제가 조치한건 본인인증 후 특정 테이블에 간단한 정보를 저장한 후 신청 직전 이 정보를 저장한 테이블에 정보가 있을경우에만 신청이 되게끔 조치를 했습니다. 그런데 본인인증 JSP를 통해 URL를 변조하면 신청이 되버리는데 이게 조치가 잘못된건가요?

뎅이 · Answer

본인인증한걸 세션에 담으셔야죠.인증한결과를 암호화해서 Client로도 내려보내셔야 하고요.그다음에 가입할때는 회원정보랑 암호화한 본인인증정보를 받아서복호화해서 세션에 있는거랑 정보가 맞는지도 비교하셔야 하고요.URL 또는 파라메터 또는 Header는 언제나 변조가 가능하기 때문에 서버에서 다 막으셔야 해요.

본인인증 후 URL 파라미터 변조

1개의 답변

Q&A 목록