프로세스 검증 누락 취약점 문의

Question

프로세스 검증 누락 취약점에 걸렸는데요.게시판에서 시퀀스를 변조 시켜 비밀글 열람 및 타 사용자의 게시글을 수정이 가능 하다고 취약점에 걸렸습니다.시퀀스를 변조 시켜 공격 하는 걸 막을 수 있나요?

speed1139 · Answer

게시글 사용자의 ID를 체크해서 본인이 아닐 경우 수정/삭제 방지하거나작성자의 ID가 있을 경우거나 권한이 있을 경우에만 비밀글을 보게 한다거나그렇게 하면 괜찮지 않나요?

bayleys · Answer

권한 검증을 제대로 하지 않는다는 얘기입니다.

speed1139 · Answer

인터셉터까지 갈거도 없이 상세보기 폼에서 권한 체크해서 작성한 사용자가 아닐 경우에 비밀글 보기 방지,수정/삭제 방지하시면 될테고 조금 더 검증 처리를 한다면 인터셉터까지 쓰셔서 처리 하심 될테고..

배고파서서러워요 · Answer

... 페이지 열람 시 서버에서 체크 진행을 아예 안하고 있나보네요.....그냥 if~else로 번호랑 사용자가 권한이 있는지만 체크해도 막히는 건데요.....

4개의 답변