불충분한 인가 취약점으로 비공개 게시글 열람하기

불충분한 인가 - 비공개 게시글 열람

취약점 진단 시 게시글과 같은 기능을 사용할 때 서버와 클라이언트는 패킷을 통해 다양한 통신 과정을 진행하는데, Burp Suite 등을 활용하여 이때 서버에 요청되는 값을 변조함으로써 비공개 게시글을 열람하거나 변조하는 등의 행위가 가능한 경우가 존재한다.

이번 사이트 취약점 진단 시에는 내가 작성한 게시글을 수정할때 넘어가는 게시글 넘버 값을 비밀글 넘버 값으로 변조할 경우 비밀글을 열람할 수 있는 취약점이다.

먼저, 비밀글 게시글에 접근하고 패킷을 캡처함으로써, 비밀글 넘버 값이 576인 것을 사전에 확인했다.

이제 내가 작성한 게시글에 접근하여 수정하기 버튼을 클릭하고 패킷을 캡처했다.

그때, 패킷에서 넘어가는 게시글 넘버 값을 비공개 게시글의 넘버 값으로 변조해서 요청하는 것이다.

그 결과, 타인이 작성했던 비공개 글에 대한 수정 페이지로 접근이 가능했다. 여기서 수정하는 행위는 아쉽게도 불가능했지만, 열람 자체는 가능했던 것이다.

보통 단순하게 GET 방식으로 게시글 넘버를 받을때 URL 주소에서 해당 넘버를 비밀 게시글 넘버 값으로 변조하는 방식은 막혀있기 마련인데, 이런 방식으로 살짝 우회를 해서 수정 페이지를 사용하여 패킷을 변조하면 성공하는 경우가 꽤 있으므로 게시글 별로 안전한 본인 인증 검증 로직을 부여해야 한다.