웹 프로그램 보안 취약점(크로스 사이트 스크립트, SQL 인젝션, 크로스 사이트 요청 위조) 방지 방법

안녕하세요. 이번엔 웹 프로그램의 보안 취약점과 해결방법에 대해서 포스팅 합니다. 웹 보안은 오늘날 디지털 시대에서 매우 중요한 요소인대, 웹 애플리케이션이 발전하면서 사이버 공격의 형태도 더욱 정교해지고 다양해졌습니다. 웹 개발자와 보안 전문가들은 이러한 보안 취약점을 이해하고 방어할 수 있는 능력을 갖추는 것이 필수적입니다. 이번 글에서는 웹 보안에서 가장 많이 발생하는 취약점인 XSS(크로스 사이트 스크립팅), SQL Injection(SQL 인젝션), CSRF(크로스 사이트 요청 위조)에 대해 살펴보고, 이를 방지하기 위한 방법을 소개하겠습니다.

1. XSS (Cross-Site Scripting, 크로스 사이트 스크립팅)

XSS(크로스사이트 스크립트)는 공격자가 웹 애플리케이션에 악성 스크립트를 삽입하여, 사용자의 브라우저에서 실행되도록 하는 공격입니다.크로스 사이트 스크립팅 공격자는 사용자 계정을 탈취하거나, 세션을 가로채거나, 웹사이트의 콘텐츠를 변조할 수 있습니다.

XSS의 종류 : 

• 저장형 XSS: 공격자가 웹 서버에 악성 스크립트를 저장하고, 다른 사용자가 해당 스크립트를 실행하게 하는 방식입니다. 예를 들어, 게시판에 악성 코드를 포함한 글을 작성하면, 다른 사용자가 이를 읽을 때 악성 코드가 실행됩니다.
• 반사형 XSS: 사용자가 웹 서버에 요청을 보낼 때 공격자가 악성 스크립트를 포함시켜 응답으로 돌려받아 실행하는 방식입니다. 일반적으로 공격자는 URL에 악성 스크립트를 포함시켜 사용자가 이를 클릭하도록 유도합니다.
• DOM 기반 XSS: 악성 스크립트가 웹 페이지의 클라이언트 측에서 DOM(Document Object Model)을 통해 실행되는 방식입니다. 서버로 전달되지 않고 브라우저에서 직접 실행되므로 탐지가 더 어려울 수 있습니다.

XSS 방지 방법 :

• 입력값 검증 및 인코딩: 사용자가 입력하는 모든 데이터를 철저히 검증하고, HTML, JavaScript 등에서 특수 문자를 인코딩하여 악성 코드 실행을 방지해야 합니다.
• 출력값 인코딩: 사용자 입력값을 페이지에 출력할 때는 이를 적절히 인코딩하여, 스크립트가 실행되지 않도록 처리합니다.
• 콘텐츠 보안 정책(CSP): 웹사이트에서 실행될 수 있는 스크립트의 출처를 제한하는 정책을 설정하여 악성 스크립트의 실행을 방지할 수 있습니다.

2. SQL Injection (SQL 인젝션)

SQL Injection(SQL 인젝션)은 공격자가 웹 애플리케이션에 SQL 쿼리를 삽입하여 데이터베이스를 조작하는 공격입니다. 이를 통해 공격자는 데이터베이스의 민감한 정보를 조회하거나, 삭제, 수정할 수 있습니다. SQL 인젝션은 특히 로그인, 검색 등의 입력값을 처리하는 웹 애플리케이션에서 자주 발생합니다.

SQL Injection 공격 과정 :

•  공격자는 웹 페이지의 입력 필드나 URL 쿼리 매개변수에 특수한 SQL 코드를 삽입하여, 데이터베이스의 명령을 변조합니다. 예를들면, 로그인 페이지에서 사용자 입력을 제대로 검증하지 않으면, 공격자는 SQL 쿼리의 논리를 변경하여 인증 없이 로그인할 수 있습니다.

SQL Injection 방지 방법 :

• 프리페어드 스테이트먼트 및 파라미터(parameter)화된 쿼리: SQL 쿼리를 작성할 때, 사용자가 입력한 값을 직접 쿼리에 삽입하지 않고, 파라미터화된 쿼리를 사용하여 입력값을 처리하면 SQL 인젝션을 방지할 수 있습니다.
• ORM 사용: 객체 관계 매핑(ORM)을 사용하면 SQL 쿼리 작성 없이 데이터베이스와 상호작용할 수 있어, SQL 인젝션의 위험을 줄일 수 있습니다.
• 입력값 검증: 사용자가 입력하는 모든 값을 철저히 검증하여, 예상하지 않은 데이터나 특수 문자가 포함되지 않도록 처리해야 합니다.

3. CSRF (Cross-Site Request Forgery, 크로스 사이트 요청 위조)

CSRF는 사용자가 의도하지 않은 요청을 보내게 하여 공격자가 원하는 작업을 수행하게 하는 공격입니다. 예를 들어, 사용자가 로그인된 상태에서 공격자가 보낸 악성 링크를 클릭하면, 해당 사용자의 권한으로 서버에 요청이 전송되어 비밀번호 변경, 데이터 삭제 등의 작업이 이루어질 수 있습니다.

CSRF 공격 과정:

• CSRF는 주로 사용자가 로그인된 상태에서 이루어집니다. 공격자는 사용자가 악성 링크를 클릭하게 하여, 그 사용자의 권한으로 특정 요청을 서버에 보내게 만듭니다. 이 요청은 사용자의 인증 정보를 담고 있기 때문에, 서버는 이를 합법적인 요청으로 받아들입니다.

CSRF 방지 방법 :

• CSRF 토큰 사용 : 각 요청에 대해 고유한 토큰을 발급하고, 이를 검증하여 요청이 실제로 올바른 사용자가 보낸 것인지 확인할 수 있습니다.
• SameSite 쿠키 설정: 쿠키에 SameSite 속성을 설정하여, 외부 사이트에서 전송된 요청에서는 쿠키가 포함되지 않도록 할 수 있습니다.
• 이중 인증(2FA): 민감한 작업(예: 비밀번호 변경, 계좌 이체) 시 이중 인증을 요구하면 CSRF 공격의 위험을 줄일 수 있습니다.

4. 이밖의 주요 보안 취약점

1) 파일 업로드 취약점

파일 업로드 기능을 통해 공격자가 악성 파일을 서버에 업로드하고, 이를 실행하여 서버에 피해를 줄 수 있습니다. 이를 방지하기 위해서는 파일 확장자, 크기 제한 등을 검증하고, 업로드된 파일을 웹 서버와 분리된 별도의 디렉토리에 저장해야 합니다.

 

2) 디렉토리 트래버설(Directory Traversal)

공격자가 파일 경로를 변조하여 서버의 민감한 파일에 접근하는 공격입니다. 서버의 디렉토리 구조를 노출하지 않도록 경로를 제한하고, 입력값을 검증하여 이를 방지할 수 있습니다.

 

3) 취약한 인증 및 세션 관리

취약한 비밀번호 정책, 세션 하이재킹 등을 통해 사용자 계정이 탈취될 수 있습니다. 강력한 비밀번호 정책과 세션 관리, 이중 인증을 통해 이를 방지할 수 있습니다.

 

마지막으로 웹 보안 취약점은 중요한 이슈입니다. XSS, SQL Injection, CSRF와 같은 공격은 웹 애플리케이션의 보안 취약점을 노리고 사용자와 데이터를 위협할 수 있기 때문에 보안취약점을 방지하기 위해서는 개발자는 웹 애플리케이션의 입력값을 철저히 검증하고, 보안 모범 사례를 준수하며, 최신 보안 패치를 적용하는 것이 중요합니다. 지속적인 보안 학습과 점검을 통해, 안전하고 신뢰할 수 있는 웹 애플리케이션을 제공하는 것이 무엇보다 중요합니다.