세션값 변경하는 해킹 기법 아시는 분?

Question

운영중인 사이트에서 세션값 변경하는 해커가 나타났습니다.처음에는 브라우저에서 스크립트 변경하는 간단한 수준의 해킹이었는데, 제가 다 방어 패치 하니까, 결국에는 세션값 변경까지 합니다.세션의 userId값을 맘대로 바꾸고, 관리자 권한까지 취득함세션값 변경이 불가능 한 것으로 아는데 이게 가능한가봐요.참고로 관리자 권한은 isAdmin 세션명을 그냥 찍어서 맞춘것 같습니다.방어 패치로 isAdmin 대신에 유추 불가능한 세션명으로 어렵게 바꾸니까 관리자권한 취득 못하네요.(isAdmin 이라는 단어는 사용자 단에서 확인 불가능 함)아래는 관련 코드이고, 매우 일반적인 코드에요.스프링 컨트롤러로그인 성공시 세션에 ID 저장하고, 관리자일 경우 isAdmin에 Y값으로 저장 합니다.// 로그인 성공시 session.setAttribute("userId", userId); session.setAttribute("jsessionId", session.getId()); // 관리자 여부 session.setAttribute("isAdmin", "Y");JSP 웹페이지관리자 권한이 있는 경우 JSTL 사용해서 특정 기능이 활성화 되게 해놨음// 자바스크립트 var msgData = { jsessionId : '${sessionScope.jsessionId}', userId : '${sessionScope.userId}' ... }; <%-- 관리자 기능은 JSTL 통해서 활성화 됨 --%> ....... 설명은 위와 같고해커가 세션값에 찍어 맞춘 isAdmin Y값을 넣은 것인데, 찍는 것은 운좋게 찍어 맞췄다치고, 세션값 변경은 어떻게 했을까요?

defult · Answer

http://www.mkexdev.net/Article/Content.aspx?parentCategoryID=1&categoryID=11&ID=226

MSSQL 튜너 · Answer

서버가 뚫린거 아닐까요?

Clickin · Answer

http only 세션으로 설정하시는 게 좋겠습니다.

한안아 · Answer

세션은 특정 코드가 아니라 !@$@$^%#$^ 이런 로그인할때 발생하는 토큰으로 관리하지않나요?

세션값 변경하는 해킹 기법 아시는 분?

4개의 답변

Q&A 목록