IBM Security Appscan 구멍 - 링크 주입 (크로스 오 버 요청 위조 에 편리)

• 초급 사용자 에 게 사용자 이름, 비밀번호, 신용카드 번호, 사회 보험 번호 등 민감 한 정 보 를 제공 하도록 권유 할 수 있 습 니 다. 고객 세 션 과 쿠키 를 훔 치 거나 조작 할 수 있 습 니 다. 합 법 적 인 사용 자 를 모방 하여 해커 가 해당 사용자 의 신분 으로 사용자 기록 을 조회 하거나 변경 하거나 업 무 를 수행 할 수 있 습 니 다. 웹 서버 에 업로드 할 수 있 습 니 다.웹 페이지, 스 크 립 트, 파일 을 수정 하거나 삭제 할 수 있 는 원인: 사용자 에 게 위험 문자 정리 기술 설명 을 정확하게 입력 하지 않 았 습 니 다. 이 소프트웨어 는 외부 영향 을 받 은 입력 으로 명령, 데이터 구조 또는 기록 의 전부 또는 일 부 를 구성 하지만 해석 이나 해석 방식 을 수정 할 수 있 는 요 소 를 무해 하 게 처리 하지 못 했 습 니 다.'링크 주입' 은 한 사이트 에 외부 사이트 의 URL 을 삽입 하거나 공격 을 받 기 쉬 운 사이트 에 스 크 립 트 의 URL 을 삽입 하여 이 사이트 의 내용 을 수정 하 는 것 입 니 다.공격 을 받 기 쉬 운 사이트 에 URL 을 삽입 하면 공격 자 는 다른 사이트 (그리고 이 공격 을 받 기 쉬 운 사이트 자체) 에 대한 공격 을 시작 하 는 플랫폼 으로 사용 할 수 있 습 니 다.그 중 일부 가능 한 공격 은 사용자 가 공격 기간 에 사이트 에 로그 인해 야 합 니 다.공격 을 받 기 쉬 운 사이트 자체 에서 이 공격 을 하면 공격 자가 성공 할 가능성 이 높 습 니 다. 사용자 가 로그 인 하 는 경향 이 있 기 때 문 입 니 다.'링크 주입' 취약 성 은 사용자 의 입력 을 충분히 정리 하지 않 은 결과 입 니 다. 이 입력 은 나중에 사이트 응답 에서 사용자 에 게 되 돌아 갑 니 다.이렇게 되면 공격 자 는 위험 문 자 를 응답 에 주입 하여 URL 을 삽입 하고 다른 가능 한 내용 을 수정 할 수 있다.다음은 '링크 주입' 의 예제 입 니 다.다음 요청: HTTP: / / www. vulnerable. com / greet. asp? name = John Smith 는 다음 과 같은 응답 을 생 성 합 니 다.

 <HTML>
  <BODY>
          Hello, John Smith.
  </BODY>
 </HTML>

그러나 악의 적 인 사용 자 는 다음 과 같은 요청 을 보 낼 수 있 습 니 다.

HTTP://www.vulnerable.com/greet.asp?name=<IMG SRC="http://www.ANY-SITE.com/ANY-SCRIPT.asp">

다음 응답 을 되 돌려 줍 니 다:

<HTML>
  <BODY>
          Hello, <IMG SRC="http://www.ANY-SITE.com/ANY-SCRIPT.asp">.
  </BODY>
</HTML>

상기 예시 에서 보 듯 이 공격 자 는 사용자 브 라 우 저가 공격 자가 공격 하려 는 거의 모든 사이트 에 자동 요청 을 할 수 있다.따라서 '링크 주입' 의 취약 성 은 몇 가지 유형의 공격 에 사용 할 수 있 습 니 다.
[-] 크로스 사이트 위조 요청
[-] 크로스 사이트 스 크 립 트 작성
[-] 낚시
해결 방법: 특수 문 자 를 처리 하고 프론트 - 백 스테이지 - 프론트 에서 데 이 터 를 처리 합 니 다.XSS 필 터 를 추가 하여 프론트 에서 들 어 오 는 모든 인 자 를 필터 합 니 다.XSS 필터:http://blog.csdn.net/super_man_x / article / details / 50905546 유사 한 구멍:

링크 주입 (크로스 오 버 요청 위조 에 편리 함):http://blog.csdn.net/super_man_x/article/details/50905153

프레임 낚시 를 통 해:http://blog.csdn.net/super_man_x/article/details/50905169

저 장 된 크로스 사이트 스 크 립 트 작성:http://blog.csdn.net/super_man_x/article/details/50905085

저 는 반찬 새 입 니 다. 여러분 이 더 간단 하고 효율 적 인 방법 이 있다 면 댓 글 에서 지적 하고 함께 공유 하 는 것 을 환영 합 니 다.감사합니다.

이 내용에 흥미가 있습니까?

현재 기사가 여러분의 문제를 해결하지 못하는 경우 AI 엔진은 머신러닝 분석(스마트 모델이 방금 만들어져 부정확한 경우가 있을 수 있음)을 통해 가장 유사한 기사를 추천합니다:

IBM Security Appscan 구멍 - 링크 주입 (크로스 오 버 요청 위조 에 편리)

이 소프트웨어 는 외부 영향 을 받 은 입력 으로 명령, 데이터 구조 또는 기록 의 전부 또는 일 부 를 구성 하지만 해석 이나 해석 방식 을 수정 할 수 있 는 요 소 를 무해 하 게 처리 하지 못 했 습 니 다....

텍스트를 자유롭게 공유하거나 복사할 수 있습니다.하지만 이 문서의 URL은 참조 URL로 남겨 두십시오.

CC BY-SA 2.5, CC BY-SA 3.0 및 CC BY-SA 4.0에 따라 라이센스가 부여됩니다.

IBM Security Appscan 구멍 - 링크 주입 (크로스 오 버 요청 위조 에 편리)

좋은 웹페이지 즐겨찾기