표제지
국문요약
목차
제1장 웹 해킹의 동향 10
제1절 최근 해킹 동향 11
1. 국내외 해킹 동향 11
(1) 최근의 해킹 동향 11
1) 새로운 역사를 연 SQL 슬래머 웜 11
2) 웹 해킹의 발전 14
2. 웹 해킹의 사례 15
(1) 국내외 웹 해킹 사례 연구 15
1) Internet 기반 서비스 15
2) 대형 웹 사이트 해킹 16
(2) 특정 사이트 해킹의 예 17
1) 특정 쇼핑몰 웹 해킹 실례 17
가) 개요 17
나) 사용된 도구 17
다) 공격과 관련된 취약점 내용 17
라) 해킹 과정 18
2) 특정 게시판 해킹 공격의 실례 19
가) 개요 19
나) 사용된 도구 19
다) 공격과 관련된 취약점 내용 20
라) 해킹 과정 21
제2장 웹 해킹의 방법론 23
제1절 취약점 확인 방법 25
1. 단계별 취약점 확인 방법 25
(1) 웹 애플리케이션 분석 도구 25
1) Achilles 26
2) Web-Sleuth 26
3) SPIKE Proxy 26
4) 취약점 확인 도구 26
제2절 공격 방법 26
1. 주요 공격 방법 27
(1) 확인되지 않은 파라미터 사용 29
1) 소스 코드 유출 29
2) 비밀번호 변경 취약점 30
(2) 부적절한 접근 통제 30
1) 인증 우회 공격 31
(3) 부적절한 계정과 세션 관리 31
1) 세션 가로채기 31
(4) 크로스 사이트 스크립팅 공격 32
1) 크로스 사이트 스크립팅 방법 33
(5) Buffer Overflow 34
1) .ASP 버퍼 Overflow우 공격 34
(6) 시스템 명령어 삽입 공격 35
1) 내장 스크립트 36
(7) 오류 처리 문제 37
1) 오류 메시지 처리 관련 취약점 37
(8) 안전하지 않은 암호화 메커니즘 사용 38
1) 잘못된 암호화 기술 사용 38
(9) 서비스 거부 공격 39
(10) 원격 관리 취약점 40
1) CIM 기본 패스워드 추측 40
(11) 웹과 어플리케이션 서버 의 잘못된 설정 41
1) .bak 파일의 존재로 인한 소스 코드 41
제3장 웹 해킹의 대응 방안 42
제1절 네트워크 수준의 대응 방안 43
1. DMZ 활용 방안 43
(1) DMZ 구성 44
제2절 웹 서버 수준의 대응 방안 45
1. IIS 서비스 46
(1) IIS 조치 보안 방안 47
2. Apache 서비스 48
(1) Apache의 취약점 48
(2) 컨테이너 설치 49
(3) Apache의 조치 방안 51
제2절 애플리케이션 수준의 대응 방안 52
1. 웹 애플리케이션 개발 방안 52
(1) 웹 애플리케이션 설계의 라이프 사이클 52
1) 설계 53
2) 개발 53
3) 검증 54
4) 운영 54
2. 웹 보안을 위한 지침 54
제3절 클라이언트 수준의 대응 방안 78
1. 클라이언트에 대한 도전과 응전 79
(1) 사용자가 할 수 있는 방법 79
1) 바이러스 백신과 개인 방화벽 79
2) 사용하는 브라우저의 보안 영역을 높이고 최신패치를 적용 79
3) 신뢰할 수 있는 영역을 규정 80
제4절 웹 로그 분석 80
1. 로그 분석 방안 80
(1) 로그 파일의 개념 80
(2) 로그 파일 분석 81
1) IIS 로그 설정 81
2) Apache 로그 설정 81
2. 로그 파일의 도전 82
(1) 로그 삭제 시나리오 82
(2) 로그 삭제에 대한 대응 방안 82
제4장 웹 보안을 위한 노력 83
제1절 보안을 위한 지속적인 노력 84
1. 유기적인 역할 84
(1) 역할적인 보완 84
1) 프로그래머의 문제점 84
2) 서버/네트워크 관리자의 문제점 84
3) 보안 관리자의 문제점 84
(2) Internet 보안 패러다임의 변화 85
(3) 변화에 대한 대응 모색 86
제5장 결론 87
참고문헌 90
부록 OWASP TopTEN 2004 의 Top Ten List 91
Abstract 92
[그림 1] 최근 해킹 기법의 경향 12
[그림 2] CAIDA 분석보고서의 UTC 5:29의 전세계 SQL_Overflow 감염 상황도 13
[그림 3] CAIDA 분석보고서의 UTC 6:00의 전 세계 SQL_Overflow 감염 상황도 13
[그림 4] 웹 서버 사용 현황 16
[그림 5] Google을 이용한 해킹을 위한 정보 검색 18
[그림 6] 디렉터리 노출로 인한 중요 정보 해킹 19
[그림 7] 동적 페이지의 연결 상황 21
[그림 8] 해킹 전 게시판 화면 22
[그림 9] 변조된 게시판 내용 변조 (게시판 데이터베이스가 삭제됨) 23
[그림 10] 소스 코드 유출 화면 29
[그림 11] 비밀 번호 변경 취약점 화면 30
[그림 12] Cross-Site 스크립트 공격 화면 33
[그림 13] .ASP 버퍼 Overflow 화면 35
[그림 14] 오류 메시지에 의해 서버의 절대 경로가 노출되는 화면 38
[그림 15] CIM 웹 기반 운영 인터페이스 41
[그림 16] .bak 파일에 의한 중요 정보 유출 42
[그림 17] 웹 서비스가 동작하는 각각의 단계 43
[그림 18] DMZ 서버 구성 설계 45
[표 1] 웹 애플리케이션 공격 유형 28
[표 2] 웹 보안을 위한 점검 목록 55