모의해킹 대응 개발 문의

Question

안녕하세요. 제가 담당하는 웹사이트 모의해캉 내용중에프록시 툴로 parameter 를 임의로 수정해서 서버로 보내면 - 전체 데이터가 출력되는 이슈가 발생했습니다.그래서 SHA-512 해시 값을 만들어서 개선하려고 합니다.제 계획은 F/E에서 B/E 호출할 떄, Hash용 param(* ex. hashCode) 을 하나 추가하고 ..나머지 컬럼들을 F/E 스크립트 개발 후 Hash 값 만들어서, B/E 로 보낼 생각입니다.그리고 서버에서 param 들 값들로 Hash 코드를 만들어서 비교할 생각입니다.중간에 프록시 툴이나 기타 해킹으로 parameter가 변경되지 않았으면 , Hash값이 동일하지 않을까 하는 생각입니다.보통 이렇게 대응하는게 맞나요?

Clickin · Answer

해커가 프론트 코드 분석해서 해시 파라미터 만드는 로직을 빼온 다음 그대로 적용해서 요청을 보내면 정상 요청처럼 보낼 수 있겠네요.보통 이런 경우에는 백엔드 검증과정에서 가능한 파라미터를 미리 정해두고 그 이외의 값은 에러를 띄우는 식으로 대응할겁니다.

Hmnya · Answer

저도 작성자님처럼 바뀌면 안되는 파라미터들(+salt)을 조합하여 토큰 만들어서 뷰 단에 보내놓고 다시 서버로 왔을때 만들어지는 토큰과 비교하는 식으로 체크하고 있습니다

모의해킹 대응 개발 문의

2개의 답변

기술 목록