::::: 해커즈뉴스 / 해커몰 :::::

해커즈뉴스 / 해커대학

Donation bitcoin(기부용 비트코인 주소)

1Pq3K39XM5xx4CifGKgppXeavtWNNHH7K4

기부하신 비트코인은 "보안 취약 계층"을 위해 사용되고 있습니다.

Donation bitcoin(기부용 비트코인 주소)

1Pq3K39XM5xx4CifGKgppXeavtWNNHH7K4

기부하신 비트코인은 "보안 취약 계층"을 위해 사용되고 있습니다.

공지

1. MS 엣지 브라우저에서의 경고창은 '윈도우 디펜더'를 끄시면 됩니다.

'윈도우 디펜더 끄기'

2. 크롬 브라우저로 접속시 나오는 악성코드 경고창은 구글 크롬의 에러, 즉 오탐(탐지 오류)이므로 무시하시면 됩니다.

3. 이 사이트는 안전하며 깨끗하다는 것을 알려 드립니다.

4. 무고한 사이트들에 대한 공룡 기업 브라우저들의 무차별적인 '탐지 오류 횡포'가 사용자들의 정보 공유의 자유를 침해하고 있습니다. 이에 대응하여 이 기업들을 상대로 소송을 준비하고 있습니다.

▒ [해커대학 - hackers college] ▒

작성자: 해커즈뉴스

장르: 보안

2020/11/18(수)

해커들이 좋아하는 API 공격 방법 4가지

애플리케이션 프로그래밍 인터페이스(API)는 요즘과 같은 IT 기술 공유 시대에 필수적인 요소로 자리를 잡았다. API를 공유한다는 건 개발자나 웹사이트 소유자들에게 기존 애플리케이션의 소스코드 일부를 제공함으로써, 개발자와 웹사이트 소유자들이 자신들의 필요에 맞게 그 소스코드를 변경하여 사용하게 해 주는 것을 말한다.

[이미지 = utoimage]

그렇기 때문에 현대의 개발자들에게 있어 API만큼 유용한 것도 없고, 그렇기 때문에 실제 여러 애플리케이션과 웹 서비스에서 API가 널리 활용되고 있다. 사람이 몰린다는 건, 해커들도 몰린다는 소리. 이미 사이버 공격자들은 API들을 적극 공략하고 있다. 그중 가장 흔히 사용되는 기법들은 다음과 같다.

1. 코드 주입
사이버 공격자들은 멀쩡한 API를 자신들의 목적에 맞게 오염시키는 방법을 즐겨 사용하는데, 이를 위해 ‘코드 주입’이라는 기법을 활발히 차용하는 편이다. 이것도 모르고 오염된 API를 사용하면, 애플리케이션이나 웹 서비스가 개발자가 아니라 해커들이 원하는 방향으로 기능하게 된다. 즉, 엉뚱한 자들과 민감한 정보를 공유한다거나, 특정한 상황에서 인증 정보가 없이도 로그인이 되도록 한다거나, 추가 멀웨어를 심는 게 ‘코드가 주입된 API’를 통해 가능해진다.

API에 코드가 주입되었는지 아닌지를 확인하려면 여러 가지 ‘수동 점검’을 진행하는 것이 가장 좋다. 특히 요청 확인을 강도 높게 실시하는 것을 권장한다. 다각도로 기능을 점검함으로써 전혀 예상치 못한 반응이 나오는지 아닌지를 살피라는 것이다. 이러면 누군가 중간에서 악성 코드를 주입했더라도 알아챌 수 있게 된다.

2. 리플레이 요청 공격
악성 행위자들이 반복적으로 요청을 전송하는 것을 허락하는 API의 경우 이 공격에 취약하다. 첫 번째 악성 요청이 거부되더라도 공격자는 얼마든지 그 다음 요청을 전송할 수 있게 된다. 그런데 이렇게 여러 요청이 반복해서 오는 것을 막는 API보다 그렇지 않은 API가 더 많다. 해커들이 이 공격 기법을 선호하는 이유가 바로 그것이다.

이는 일종의 브루트포스 공격이라고 볼 수도 있다. 막으려면 HMAC 인증을 활용해 요청 시도 제한 규정을 적용해야 한다. 또한 다중 인증과 생애 주기가 짧은 오오스(OAuth) 접근 토큰을 활용하는 것도 방어에 큰 도움이 된다.

3. 요청 조작 공격
이 공격의 또 다른 이름은 CSRF다. 인증이 된 웹 애플리케이션(API와 같은)을 해커가 활용해 이메일 주소를 변경하거나 은행 계좌로부터 돈을 보내는 등의 결과를 이끌어 내는 공격이다. 꽤나 수년 전부터 인기가 높았으며 수많은 유명 웹사이트들이 이 공격에 피해를 입었다.

공격자들은 주로 서버에서 생성되는 토큰들, 그 중에서도 HTML 코드에 감춰져 있는 토큰들을 활용해 CSRF 공격을 성립시킨다. 이 토큰들은 요청이 만들어질 때마다 요청과 함께 서버로 전송되는 것으로, 이 토큰들을 통해 서버는 해당 요청을 신뢰할 수 있는지 확인할 수 있다. 이런 요청을 조작하는 행위는 코로나로 인해 온라인 거래가 많아진 시점에 더욱 위협적인 공격이 된다.

4. 사용자 인증 파괴
API 개발자들이 항상 인증 시스템에 철저하게 신경을 쓰는 건 아니다. 심지어 잘못 만들거나 구축하는 사례도 흔하다. 이런 경우 API은 대단히 취약해진다. 이렇게 만들어진 API가 해커들의 손에 들어가면, 해커는 인증된 사용자인 것처럼 스스로를 위장시키고 각종 행위를 할 수 있게 된다.

이러한 취약점을 통한 공격을 방어하려면 타임스탬프 요청을 활용하는 것이 도움이 된다. 아무 API 요청에 HTTP 헤더의 형태로 추가할 수 있다. 이렇게까지 해 두면 서버가 현재의 타임스탬프와 요청에 붙어 있는 타임스탬프를 비교할 수 있게 된다. 이 비교값이 타당할 경우(이는 사용자가 정책적으로 결정해야 한다) 인증이 통과된다.

API들은 해커들에게 있어 대단히 맛 좋은 먹잇감이 될 수밖에 없다. 광범위하게 사용되고 있고, 공격 효과가 대단히 높은 편이며, 심지어 간단한 해킹 기술로도 공략이 가능하기 때문이다. 그러므로 API를 만들거나 사용하는 사람 모두가 간단한 보안 수칙을 지켜 API를 보호해야 한다. 지금 API는 공격자들에게 있어 보물창고나 다름이 없다.

글 : 라비 라자로비츠(Lavi Lazarovitz), CyberArk

번호	장르	제 목	작성일

6142	보안	해킹 걱정 없는 블록체인 모바일 메신저 나왔다	2020/11/19

6141	보안	최근 기업 대상 랜섬웨어 사고 이렇게 발생했다…대응방안은?	2020/11/18

6140	보안	해커들이 좋아하는 API 공격 방법 4가지	2020/11/18

6139	보안	트위터, 유명 해커 '머지' 보안 책임자로 임명	2020/11/18

6138	보안	코로나19발 '원격·보건' 이슈, 해커도 참고한다	2020/11/18

6137	해킹	“5분만에 수십만원 결제” … 구글계정 해킹 ‘주의’	2020/11/18

6136	해킹	공공·금융 '보안 설치 프로그램' 해킹?..."관리 서버 운영 문제"	2020/11/18

6135	해킹	이스트시큐리티, ‘북한 비핵화 협상’ 담은 MS워드 내려받기 유도...해킹 공격 징후 ...	2020/11/18

6134	해킹	박은지, SNS 해킹 협박받았다 "오전 시간 다 날아가"	2020/11/17

6133	보이스 피싱	지리산서 체포된 보이스피싱 일당, 그 뒤엔 북 해커 있었다	2020/11/16