검증되지 않은 리다이렉트 및 포워드

Using Components 

with Known Vulnerabillities

; 검증되지 않은 리다이렉트 및 포워드

Directory Listing

  ; 보안설정

• websv) vi /etc/http/conf/http.conf -> /Option Indexes Flows~ 부분을 지우면 www../upload 리스트차단

Traversal

  ; cd ..

• www../.html) vi /../../../etc/passwd 가능

Direct Object Reference (직접객체참조)

• www./main.php/lang=../../../etc/passwd

Broken Access Control (=URL Jumping)

• Victim -------[ 1. redirect URL ]------> Hacker PC

http://www.naver.com/redirect.php?/url=http://event.naver.nhnps/com

Reference Header 

; referer: http://domain/admin.php

▷ 방어

 입력값검증부재(Unvalidated Input)

1. 클라이언트사이드 검증 
2. 서버사이드 검증; 서버 부하 증가
• ; 직접 대입형식
• board_write.php)$b_contents=str_replace("<script"," ",$b_contents);

2018-10-27