1. Frida (프리다) Frida는 오픈 소스 DBI(Dynamic Binary Instrumentation) 도구입니다. 모바일 및 데스크톱 플랫폼 모두에서 실행 중인 프로세스에 JavaScript 또는 기타 스크립팅 언어를 삽입하여 다양한 런타임 분석, 조작 및 리버스 엔지니어링 작업을 수행할 수 있습니다. Frida는 일반적으로 모바일 애플리케이션 보안 평가, 디버깅 및 애플리케이션의 내부 작동 탐색에 사용됩니다. 대상 프로세스와 상호 작용하고, 메모리에 액세스 및 수정하고, 함수 호출을 가로채고, 기타 다양한 런타임 조작을 수행할 수 있는 강력한 API를 제공합니다. 따라서 Frida는 보안 조치 우회, 네트워크 트래픽 분석, 애플리케이션 동작 수정 등과 같은 작업을 위한 다목적 도구입니다. ..

1. Anaconda (아나콘다) Anaconda는 과학 컴퓨팅, 데이터 과학 및 기계 학습을 위한 Python 및 R 프로그래밍 언어의 오픈 소스 배포판입니다. 이러한 도메인에 대한 소프트웨어 환경을 설정하고 관리하는 프로세스를 단순화하는 것을 목표로 합니다. Anaconda에는 NumPy, Pandas, Matplotlib, SciPy, scikit-learn, TensorFlow 및 PyTorch와 같은 라이브러리를 포함하여 1,500개 이상의 인기 있는 Python 및 R 패키지 모음이 포함되어 있습니다. 이러한 패키지는 일반적으로 데이터 분석, 기계 학습, 통계 모델링 및 기타 과학 컴퓨팅 작업에 사용됩니다. Anaconda의 주요 기능 중 하나는 "conda"라는 패키지 관리 시스템입니다. C..

1. 아이폰 탈옥하기 iPhone 탈옥은 Apple이 iOS 운영 체제에 부과한 제한을 제거하는 과정을 말하며, 사용자는 루트 액세스 권한을 얻고 탈옥하지 않은 기본 상태에서 허용되는 것 이상으로 iPhone을 사용자 지정할 수 있습니다. 탈옥을 통해 사용자는 장치를 더 잘 제어할 수 있으며 공식 App Store를 통해 사용할 수 없는 타사 앱, 조정, 수정 및 테마를 설치할 수 있습니다. iPhone이 탈옥되면 서명되지 않은 코드 실행이 허용되어 비공식 소스에서 소프트웨어를 설치하고 시스템 파일 및 설정을 수정할 수 있습니다. 이것은 사용자에게 추가 기능, 사용자 지정 옵션 및 iOS 파일 시스템에 대한 액세스를 제공합니다. 탈옥은 다음과 같은 이점을 제공할 수 있습니다. 타사 앱 설치: 사용자는 A..

평가항목ID WEB-SER-005, MOB-SER-005 위험도 5 통제구분 5.8.5 (일반공통) 이용자 인증 평가항목 고정된 인증정보 이용 상세설명 o SMS 등 이용자 인증을 위해 생성되는 값에 대해 인증정보 탈취 방지를 위해 가변적인 데이터 사용 여부를 점검 * (평가 예시) - SMS, ARS 등 이용자 인증 시 매번 동일한 인증코드 생성 여부 점검 등 고정된 인증정보 이용 SMS 등 이용자 인증을 위해 생성되는 값이 고정된 값일 경우 인증코드 유출 시 공격자가 이를 이용하여 도용이 발생할 수 있으므로 가변적인 데이터를 사용해야 합니다. 이용자 인증정보는 세션정보와 1회성 인증정보로 분류할 수 있습니다. 분류 대상 위험 세션정보 - 세션ID - SSO세션 토큰 세션 정보(세션ID, SSO인증토큰..

평가항목ID WEB-SER-004, MOB-SER-004 위험도 5 통제구분 5.8.5 (일반공통) 이용자 인증 평가항목 이용자 인증정보 재사용 상세설명 o 중간자 공격 등에 의해 탈취된 인증정보가 재사용되는 것을 방지하기 위해 이미 사용된 인증정보(전자서명값 등)에 대해 재사용 가능 여부를 점검 * (평가 예시) - 이용자 인증 수행을 위해 생성된 전자서명 값의 재사용 가능 여부를 점검 - OTP/SMS/계좌 인증에 사용되는 일회성 값의 재사용 가능 여부를 점검 - 비대면 실명인증(신분증 사본 제출) 수행 시, 서버에 전송되는 신분증 사진 및 신분증 정보(주민등록번호, 이름, 발급일자 등)에 대해 재사용 가능 여부를 점검 등 이용자 인증정보 재사용 사용자 인증정보가 재사용 가능한 경우 중간자 공격 등에..

1. Burp Suite (버프 스위트) 설정안드로이드는 에뮬레이터로 인해 실제 단말기가 없더라도 점검이 용이합니다.안드로이드 에뮬레이터에서 https 프로토콜을 확인하기 위한 인증서 설치 방법입니다. ipconfig /all 명령어로 IP 확인합니다.   Settings > Tools > Proxy > Edit proxy listener의 Bind to address에 내 IP 입력 후 사용할 port 입력합니다.  2. 에뮬레이터 & 모바일 기기 설정안드로이드 에뮬레이터인 녹스에서 Wi-Fi 길게 누르고, 네트워크 수정을 선택합니다.호스트 이름에는 본인의 IP를 입력하고 프록시 포트에는 설정한 포트(8080)를 입력합니다.   인터넷 창을 열어 http://burp/ 주소에 접속 후 우측 상단에 CA..

1. 안드로이드 루팅하기 루팅은 Android 운영 체제에 대한 관리 액세스 권한을 얻는 프로세스로, 이를 통해 사용자는 제조업체에서 일반적으로 허용하는 것 이상으로 장치의 소프트웨어를 수정할 수 있습니다. 여기에는 사용자 지정 ROM 설치, 사전 설치된 앱 제거, 일반적으로 제한되는 시스템 파일 및 설정 액세스가 포함될 수 있습니다. 루팅은 다양한 도구와 방법을 사용하여 수행할 수 있지만 일반적으로 Android 시스템의 보안 취약성을 악용하여 높은 권한을 얻습니다. 이는 잠재적으로 장치의 보안 및 안정성을 손상시킬 수 있고 제조업체의 보증을 무효화할 수 있으므로 위험할 수 있습니다. 그러나 루팅은 기기의 모양과 기능을 사용자 정의하고, Google Play 스토어에서 사용할 수 없는 앱을 설치하고, ..

평가항목ID WEB-SER-003, MOB-SER-003 위험도 5 통제구분 5.8.4 (일반공통) 서비스 보호 평가항목 부적절한 이용자 인가 여부 상세설명 o 접근 권한에 대한 검증 과정이 구현되지 않아 다른 이용자의 민감한 정보나 권한이 노출 될 수 있으므로 이에 대한 검증절차 존재 여부를 점검 * (평가 예시) - 현재 로그인 중인 이용자가 중요 정보가 포함된 페이지에 대해 접근권한 확인 여부 점검 - 중요 정보 페이지에서 이용자 파라미터 변경으로 타인의 정보를 열람, 수정이 가능 여부 점검 - 통상 파라미터 변조에 따른 비정상적인 권한상승/조회/변경 가능 여부 등을 점검 부적절한 이용자 인가 여부 적절한 사용자 권한 부여는 사용자가 가져서는 안 되는 특정 리소스 또는 권한에 대한 액세스 권한이 부..

1. Burp Suite (버프 스위트) 대표적인 웹 애플리케이션 보안 테스트 도구로 스캐닝을 포함하여 다양한 유형의 보안 테스트 수행이 가능합니다. 주요 기능 중 하나는 웹 브라우저와 대상 애플리케이션 간의 HTTP/S 트래픽을 가로채고 수정하는 기능입니다. 이를 통해 보안 전문가는 브라우저와 애플리케이션 사이에 전송된 요청과 응답을 검사하고 수정할 수 있습니다. 이는 인젝션 결함, 인증 문제 및 기타 유형의 취약성과 같은 취약성을 식별하는 데 유용할 수 있습니다. 웹 프록시 도구들 중 가장 대중적으로 널리 알려진 Burp Suite에 대한 자세한 기능들에 대해서 앞으로 작성을 하려고 합니다. 유명한 웹 프록시 도구는 다음과 같습니다. Burp Suite: Burp Suite는 브라우저와 서버 간의 H..

평가항목ID WEB-SER-002, MOB-SER-002 위험도 5 통제구분 5.8.4 (일반공통) 서비스 보호 평가항목 악성파일 업로드 상세설명 o 웹쉘 등과 같은 악성파일이 업로드 될 경우 시스템 명령어 실행 및 인접 서버에 대한 침입 가능성이 존재함에 따라, 악성파일 업로드 및 실행 가능 여부를 점검 * (평가 예시) - 이미지, 한글(hwp) 등의 파일을 업로드 할 수 있는 부분에 JSP, ASP 등의 스크립트 파일 업로드 가능 여부 점검 - 업로드 된 파일의 위치 및 실행 가능 여부 점검 등 * 웹쉘(web shell) : 업로드 취약점을 통하여 해커가 원격에서 웹서버를 조종할 수 있도록 작성한 웹 스크립트(단체표준 TTAK.KO-12.0002/R3 정보 보호 기술 용어) 악성파일 업로드 성공적..