[SegFault] (Authorization) - authorization 6

[SegFault] Authorization

authorization 6

관리자의 개인 정보를 확인해보세요!

문제 파악

위의 페이지에 들어가면 다음과 같은 창이 나온다.

주어진 계정 정보를 이용하여 로그인 해본다.

계정 정보 : sfUser / sfUser1234

 

주어진 정보로 로그인 하면 다음과 같다.

마이페이지에 들어가서 어떻게 구성되어 있는지 확인해본다.

위의 요청을 Burp Suite에서 확인해 보면 다음과 같다.

해당 페이지의 파라미터를 보면 user=sfUser 와 같이 현재 로그인한 계정 정보를 입력값으로 받고 있는 것을 확인할 수 있다.

---

생각 과정

마이페이지의 요청을 확인해본 결과 GET 방식을 이용하여 mypage.php?user=sfUser와 같이 로그인한 유저의 유저명을 입력값으로서 받고 있는 것을 확인할 수 있다.
그렇다면 관리자의 정보를 확인하기 위해 user 파라미터의 입력값으로서 admin을 넣어주면 되지 않을까?

---

풀이 과정 (해결 방안)

Burp Suite에서 요청 변조를 통해 다음과 같이 user 파라미터에 admin을 넣어서 보내본다.

GET /auth7/mypage.php?user=admin

 

위와 같이 admin을 입력값으로 넣어준 결과, 다음과 같이 flag값을 info정보의 placeholder로서 가지고 있는 관리자의 정보에 접근할 수 있었다.

---

취약점에 관한 고찰

마이페이지(Private Page)에 대한 접근 권한

본 문제의 경우 마이페이지의 파라미터를 GET 방식의 파라미터로서 유저명을 받고 있어 요청의 변조가 용이하고, 다른 계정에 대한 개인정보 접근에 있어 접근 권한 설정의 미흡에 있다.
파라미터를 단순히 변조하여 요청하는 경우에 관리자 계정의 개인정보에 접근할 수 있었다.

계정 정보와 같이 민감정보를 포함할 수 있는 곳에 대한 접근 권한의 설정을 제대로할 필요가 있고, 이런 경우 GET 방식을 쓰지 않고, 파라미터를 숨기거나, 해당 유저 이외의 접근을 제한하는 것이 필요하다.

---

 

질문 환영, 수정 및 보완에 대한 지적 환영