반응형 전체 글15 🔓 BOLA 공격(Broken Object Level Authorization): 인증 취약점을 악용한 데이터 탈취 🚨 📌 목차BOLA(Broken Object Level Authorization)란?BOLA 공격의 원리주요 공격 기법보안 위협과 실제 사례방어 방법 및 대응 방안🔍 BOLA(Broken Object Level Authorization)란?BOLA(Broken Object Level Authorization, 객체 수준 권한 부여 취약점)은사용자가 자신의 데이터만 접근해야 함에도 불구하고 다른 사용자의 데이터를 조회, 수정, 삭제할 수 있는 보안 취약점이다.API가 사용자 인증만 확인하고, 개별 객체에 대한 접근 권한을 제대로 검증하지 않는 경우 발생한다.이 취약점은 OWASP API Security Top 10에서 1위로 선정될 만큼 심각한 보안 이슈로 평가받고 있다.⚙️ BOLA 공격의 원리BOLA .. 2025. 2. 20. 🚨 GraphQL 공격: Introspection 쿼리를 이용한 내부 데이터 구조 유출 🔍 📌 목차GraphQL이란?GraphQL 공격의 원리Introspection 쿼리를 이용한 내부 데이터 유출주요 GraphQL 보안 취약점방어 방법 및 대응 방안🔍 GraphQL이란?GraphQL은 Facebook이 개발한 유연하고 강력한 API 쿼리 언어로,클라이언트가 원하는 데이터를 선택적으로 요청할 수 있는 기능을 제공한다.그러나 잘못된 보안 설정으로 인해 공격자가 내부 데이터 구조를 유출하거나,불필요한 API 기능을 악용하여 권한 상승, 대량 데이터 추출, 서비스 거부(DDoS) 등을 일으킬 수 있다.⚙️ GraphQL 공격의 원리GraphQL API는 기본적으로 Introspection 쿼리를 제공한다.이 기능을 활성화하면 API 스키마 정보를 직접 조회할 수 있다.공격자는 이를 활용하여 데이.. 2025. 2. 20. 🚨 CORS Misconfiguration Exploitation: 취약한 CORS 설정을 악용한 데이터 탈취 공격 🔓 📌 목차CORS란 무엇인가?CORS Misconfiguration Exploitation의 원리주요 공격 기법보안 위협과 실제 사례방어 방법 및 대응 방안🔍 CORS란 무엇인가?CORS(Cross-Origin Resource Sharing)는 웹 브라우저가 다른 도메인의 리소스에 접근할 수 있도록 허용하는 보안 메커니즘이다.보통 웹 애플리케이션은 **동일 출처 정책(Same-Origin Policy, SOP)**에 의해 다른 도메인의 요청을 차단하지만,CORS 설정이 적절하지 않으면 공격자가 이를 악용하여 민감한 데이터를 탈취하거나 악성 요청을 수행할 수 있다.⚙️ CORS Misconfiguration Exploitation의 원리웹 서버가 잘못된 CORS 정책을 사용하면 공격자는 악성 웹사이트에서.. 2025. 2. 20. 🛑 Host Header Injection: 서버 측 요청 위조(SSRF) 및 보안 우회 공격 🚨 📌 목차Host Header Injection이란?공격 원리와 작동 방식주요 Host Header Injection 공격 기법보안 위협과 실제 사례방어 방법 및 대응 방안🔍 Host Header Injection이란?Host Header Injection은 클라이언트가 전송하는 Host 헤더 값을 조작하여 웹 서버의 요청 처리를 속이는 공격 기법이다.일반적으로 웹 애플리케이션은 Host 헤더를 사용하여 요청된 도메인을 식별하고 처리한다.공격자는 이를 악용하여 SSRF(Server-Side Request Forgery), 캐시 포이즈닝(Cache Poisoning), 오픈 리다이렉트(Open Redirect) 등의 공격을 수행할 수 있다. ✅ 주요 공격 목적✔️ SSRF 수행: 내부 네트워크로 요청을 .. 2025. 2. 19. 🛑 HTTP Parameter Pollution (HPP): 동일한 요청 파라미터를 활용한 보안 우회 공격 🚨 📌 목차HTTP Parameter Pollution(HPP)이란?HPP 공격의 원리HPP의 주요 공격 기법HTTP Parameter Pollution의 위험성방어 방법 및 대응 방안🔍 HTTP Parameter Pollution(HPP)이란?HTTP Parameter Pollution (HPP)은 웹 요청에서 동일한 파라미터를 여러 번 중복하여 보내, 서버의 해석 방식 차이를 악용하는 공격 기법이다.이 공격은 웹 애플리케이션이 중복된 요청 파라미터를 다루는 방식이 일관되지 않거나, 필터링 로직을 우회할 때 발생한다.공격자는 이를 통해 보안 정책을 우회하거나, 원하는 파라미터 값을 삽입하여 시스템을 조작할 수 있다. ✅ 주요 공격 목적✔️ 필터링 우회: 보안 규칙을 우회하여 악성 데이터 삽입✔️ API.. 2025. 2. 19. 🚨 HTTP Request Smuggling: 서버와 프록시 간 요청 해석 차이를 악용한 보안 공격 🚨 📌 목차HTTP Request Smuggling이란?공격 원리와 작동 방식주요 공격 기법 (CL.TE, TE.CL)HTTP Request Smuggling의 위험성방어 방법 및 대응 방안🕵️♂️ HTTP Request Smuggling이란?HTTP Request Smuggling(HTTP 요청 스머글링)은 서버와 프록시 간의 요청 해석 차이를 악용하여 공격자가 악의적인 요청을 삽입하는 기법이다.이 공격은 주로 리버스 프록시(Reverse Proxy)나 로드 밸런서(Load Balancer)를 사용하는 웹 애플리케이션에서 발생하며,서버와 프록시가 HTTP 요청의 길이를 해석하는 방식이 서로 다를 때 공격이 가능하다.주요 목적✔️ 세션 하이재킹: 다른 사용자의 요청을 가로채거나 변조✔️ 캐시 중독: 악.. 2025. 2. 19. 정보의 홍수 속에서 기존의 정보와 새로운 정보의 통합을 외치다. 요즘 시대는 너무나 빠릅니다. 정보의 홍수라 불릴만큼 정보들이 넘쳐나는 세상에 살고 있지요. 이런 수많은 데이터들이 돌아다니는데, 이러한 데이터들을 유의미한 것으로 바꾼게 정보이지요. 이러한 유의미한 정보들도 어느새 일반 데이터들처럼 여겨질 때가 많습니다. 워낙 많고 정리한 것이 제대로 정리되지 못했기 때문이지요. 이제 과거의 정보들, 즉 기존의 정보들과 새롭게 업데이트 된 정보들을 융합하여 새로운 정보들로 통합하고자 합니다. 물론 바뀌지 않는 정보들은 그대로 이어가야하겠지만, 컨버전스의 시대에 살기 때문에 더더욱 다양한 정보들을 융합하고 새로운 결과를 도출해야합니다. 우리가 궁금했던 이야기. 궁금했던 정보. 잊었던 정보. 새롭게 알려줄 정보들을 가득 담을 블로그로 만들기. 지금 시작합니다. 2022. 3. 28. 이전 1 2 다음 반응형
