hyeon_iyy.log

공동인증서 및 전자서명 분석

Mon, 06 Jan 2025 01:22:56 GMT

1. 공동인증서 구조

공동인증서는 단순한 파일이 아니라, 내부에 다양한 정보와 보안 매커니즘을 포함한 인증체계이다. 인증서 내부에는 복호화키인 주체의 공개키, 주체, 발급자, 시리얼정보, VID 등 다양한 정보가 포함된다.

발급자의 서명 1) 인증서 내부 값들을 HASH 알고리즘을 통재 지문을 생성 2) 해당 지문을 발급자(인증기관/CA)의 개인키로 암호화 3) 암호화된 값을 = 발급자의 서명 이라고 부르며, 공동인증서에 포함
서명을 통해 공동인증서의 무결성과 신뢰성이 보장됨

1-1. 내부 데이터 확인하기

certutil, openssl, ASN1.decoder 등을 통해 공동인증서 내부의 값을 분석 가능
서버에서는 공동인증서 내부의 값(CN, DN, Serial, VID)을 추출하여 유효기간 및 사용자 검증을 실시하므로 해당 데이터 필드 검증 필요

*취약점 점검 시 주의할 점 *
- 서버단에서 인증서의 명의자에 대한 검증필수 ex) 고객정보(주민등록번호)로 인증서가 발급되었음을 확인해야함 (인증서VID검증)
검증로직이 생략될 경우, 타인의 인증서를 이용하여 서비스가입/이용 가능

2. 전자서명 과정

서명(Signing)은 Data를 해쉬(HASH)된 값으로 나타낸 뒤, 개인키로 RSA로 암호화하는 과정을 수행한다. 암호화된 해쉬값이 전자서명이며, 송신자의 신원을 증명하는 역할을 한다. 이후, 전자서명에 공동인증서를 첨부하고, 원본데이터와 함께 수신자에게 전달된다.

검증(verification)에서는 공개키를 사용해 암호화를 복호화시킨 해쉬값과 Data를 해쉬로 변환한 값을 비교하여 검증한다. 이를 통해 무결성과 인증을 보장하게 된다.

3. 공동인증서 본인확인 식별번호(VID)

1) VID 값의 생성 방식

VID(Value Identifier)는 개인의 고유 식별 정보(예: 주민등록번호 또는 고유한 ID)를 암호학적으로 안전한 방법으로 해시화하여 생성한다
일반적으로 SHA-256 같은 해시 알고리즘을 사용한다. 해시 알고리즘은 입력값(예: 주민등록번호)으로 고정된 길이의 해시 값을 생성한다.
예를 들어, 주민등록번호 123456-7890123가 입력값이라면, 이를 SHA-256으로 해시화하여 32바이트의 해시 값이 생성된다. 이 해시 값이 VID로 사용된다.

=> VID = h(h(IDN, R), 가입자의 식별번호 IDN, 가입자의 개인키에서 추출한 R값으로 가상 식별번호 VID 값을 생성한다

2) 복호화 가능성

해시 함수는 일방향 함수임. 즉, 입력값으로부터 해시 값을 계산하는 것은 쉽지만, 해시 값만으로 원래의 입력값을 알아내는 것은 매우 어렵거나 불가능하다.
SHA-256 같은 해시 알고리즘은 설계상 복호화할 수 없으며, 이는 보안을 강화하기 위한 것이다.
VID 값은 입력된 개인 정보를 보호하기 위해 해시화된 것이기 때문에, 이 값을 복호화하여 원본 정보를 얻는 것은 불가능하다.

3) VID값 확인

ASN.1로 인코딩된 데이터(예: X.509 인증서, 네트워크 프로토콜 메시지 등)를 디코딩하면 구조화된 데이터를 읽을 수 있게 된다. 온라인 ASN.1 decoder를 사용하여 확인가능하다.

VID값의 오프셋 위치 : 3D8- 3F7

(32byte) hex : 5E A4 DD 7A 5E 5D 87 5A 86 C0 ............ 값 : 5EA4DD7A5E5D875A86C0F5A48DD000.............

참고자료 https://d2.naver.com/helloworld/744920 https://epicarts.tistory.com/156 https://en.wikipedia.org/wiki/Electronic_signature

frida 실행 시 VM::AttachCurrentThread failed: -1 에러 조치 방법

Mon, 24 Apr 2023 06:24:19 GMT

문제 발생

Android 10에서 발생하는 문제 frida spawn이 제대로 동작하지 않음

해결 방법

USAP를 비활성화하자. Zygote Preforking 을 비활성화 setprop persist.device_config.runtime_native.usap_pool_enabled false

  $su
  #setprop persist.device_config.runtime_native.usap_pool_enabled false
  #getprop | grep usap

참고 자료 : https://github.com/frida/frida-core/issues/376

[WEB] XSS_1

Thu, 16 Mar 2023 10:33:13 GMT

1. Dreamhack XSS_1번 문제

문제 풀이 사이트에서 3가지의 메뉴를 확인 할 수 있음.
- vuln , memo, flag 메뉴가 존재

1. 엔드포인트: /vuln

이용자가 전달한 xss 파라미터의 값을 출력
- 이용자가 입력한 값을 그대로 출력하기 때문에 XSS가 발생

@app.route("/vuln")
def vuln():
    param = request.args.get("param", "") #이용자가 입력한 vlun 인자를 가져옴
    return param #이용자의 입력값을 화면 상에 표시

2. 엔드포인트: /memo

이용자가 전달한 memo파라미터 값을 render_template 함수를 통해 기록 및 출력
- render_template 함수는 HTML엔티티코드로 변환해 저장하므로 XSS발생하지 않음

@app.route("/memo") #memo 페이지 라우팅
def memo(): #memo 함수 선언
    global memo_text #메모를 전역변수로 참조
    text = request.args.get("memo", "") #사용자가 전송한 memo입력값을 가져옴
    memo_text += text + "\n" #사용자가 전송한 memo입력값을 memo_text에 추가
    return render_template("memo.html", memo=memo_text) #memo_text를 render_template를 거쳐 사이트에 출력

3. 엔드포인트: /flag

1) 엔드포인트: /flag 분석

@app.route("/flag", methods=["GET", "POST"])
def flag():
    if request.method == "GET": 
        return render_template("flag.html")
    elif request.method == "POST":
        param = request.form.get("param")
        if not check_xss(param, {"name": "flag", "value": FLAG.strip()}):
            return ''

        return ''

GET : 이용자에게 URL을 입력 받는 페이지를 제공
POST : param 파라미터에 값과 쿠키를 포함 + check_xss함수 호출
- check_xss : read_url 함수를 호출해 vlun 엔드포인트에 접속
- check_xss로 전달하는 과정에서 “vlaue” : FLAG.strip() 을 확인함. 여기서 FLAG 는 FLAG = open("./flag.txt", "r").read() 으로 정답 값으로 유추

2) check_xss 함수 분석

def check_xss(param, cookie={"name": "name", "value": "value"}):
    url = f"http://127.0.0.1:8000/vuln?param={urllib.parse.quote(param)}"
    return read_url(url, cookie)

여기서 url이 127.0.0.1 임을 통해 “입력받은 URL을 확인하는 봇” 이 구현됨을 확인
입력 받은 param값을 담은 url + cookie의 값이 ⇒ read_url()에게 전달

3) read_url 함수 분석

def read_url(url, cookie={"name": "name", "value": "value"}):
    cookie.update({"domain": "127.0.0.1"})
    try:
        options = webdriver.ChromeOptions()
        for _ in [
            "headless",
            "window-size=1920x1080",
            "disable-gpu",
            "no-sandbox",
            "disable-dev-shm-usage",
        ]:
            options.add_argument(_)
        driver = webdriver.Chrome("/chromedriver", options=options)
        driver.implicitly_wait(3)
        driver.set_page_load_timeout(3)
        driver.get("http://127.0.0.1:8000/") #로컬호스트 환경에서 웹 페이지를 접속
        driver.add_cookie(cookie) #전달받은 cookie를 쿠키로 추가함
        driver.get(url) # 매개변수로 받아온 사용자가 입력한 param을 포함한 url에 접속
    except Exception as e:
        driver.quit()
        # return str(e)
        return False
    driver.quit()
    return True

로컬호스트 환경에서 웹 페이지 접속 후, FLAG값을 쿠키로 추가하며
사용자로부터 입력받은 XSS값을 이용해 XSS페이지를 실행

‘/flag’ 에서 param값을 입력 후 submit 할 시 FLAG값을 쿠키에 심어서 ‘127.0.0.1:8000’ 도메인으로 웹 서버 브라우저에 저장
‘flag’에서 입력한 param을 통해 완성된 url로 브라우저를 띄움
2번과정에서 쿠키에 FLAG가 심어지므로, param에 입력한 값을 통해 memo에 기록을 남길 수 있음

4. FLAG 출력

1) 삽입 스크립트

[WEB] XSS

Thu, 16 Mar 2023 10:26:10 GMT

1. ClientSide: XSS

1) XSS

클라이언트 사이드 취약점 중 하나, 웹 리소스에 악성 스크립트를 삽입해 실행 가능
- 이를 통해, 특정 계정의 세션정보 탈취하고 해당 계정으로 기능 수행 가능
SOP 보안 정책이 등장하면서 다른 오리진에서는 정보 읽는 행위가 불가능해졌지만, 우회 하는 다양한 기술을 통해 XSS공격은 지속되고 있음

2) XSS 발생 예시와 종류

이용자가 삽입한 내용을 출력하는 기능에서 발생 (게시물,댓글 등)
웹 리소스를 이용자에게 보여줄 때 HTML,CSS,JS와 같은 코드가 포함된 게시물을 조회할 경우 변조된 페이지를 보거나 스크립트가 실행 가능
XSS 종류

| Stored XSS | XSS에 사용되는 악성 스크립트가 서버에 저장되고 서버의 응답에 담겨오는 XSS |
| --- | --- |
| Reflected XSS | XSS에 사용되는 악성 스크립트가 URL에 삽입되고 서버의 응답에 담겨오는 XSS |
| DOM-based XSS | XSS에 사용되는 악성 스크립트가 URL Fragment에 삽입되는 XSSFragment는 서버 요청/응답 에 포함되지 않습니다. |
| Universal XSS | 클라이언트의 브라우저 혹은 브라우저의 플러그인에서 발생하는 취약점으로 SOP 정책을 우회하는 XSS |

3) XSS 스크립트의 예시

4) Stored XSS

서버의 데이터베이스 또는 파일 등의 형태로 저장된 악성 스크립트를 조회할 때 발생하는 XSS

5) Reflected XSS

검색 문자열에 악성 스크립트가 포함되어 있다면 XSS 발생
타 이용자에게 악성 스크립트가 포함된 링크에 접속하도록 유도해야함
- 악성 스크립트 포함 여부를 눈치챌 수 있기 때문에 Click Jacking 또는 Open Redirect 와 연계하여 사용

2. Exercise: XSS

1) 엔드포인트 분석

@app.route('/memo') # memo 페이지 라우팅
def memo(): # memo 함수 선언
    global memo_text # 메모를 전역변수로 참조
    text = request.args.get('memo', '') # 사용가 전송한 memo 입력값을 가져옴
    memo_text += text + '\n' # 사용가 전송한 memo 입력값을 memo_text에 추가
    return render_template('memo.html', memo=memo_text) # 사이트에 기록된 memo_text를 화면에 출력

def read_url(url, cookie={"name": "name", "value": "value"}):
    cookie.update({"domain": "127.0.0.1"})
    try:
        options = webdriver.ChromeOptions()
        for _ in [
            "headless",
            "window-size=1920x1080",
            "disable-gpu",
            "no-sandbox",
            "disable-dev-shm-usage",
        ]:
            options.add_argument(_)
        driver = webdriver.Chrome("/chromedriver", options=options)
        driver.implicitly_wait(3)
        driver.set_page_load_timeout(3)
        driver.get("http://127.0.0.1:8000/")
        driver.add_cookie(cookie)
        driver.get(url)
    except Exception as e:
        driver.quit()
        # return str(e)
        return False
    driver.quit()
    return True

def check_xss(param, cookie={"name": "name", "value": "value"}):
    url = f"http://127.0.0.1:8000/vuln?param={urllib.parse.quote(param)}"
    return read_url(url, cookie)

@app.route("/flag", methods=["GET", "POST"])
def flag():
    if request.method == "GET":
        return render_template("flag.html")
    elif request.method == "POST":
        param = request.form.get("param")
        if not check_xss(param, {"name": "flag", "value": FLAG.strip()}):
            return ''
        return ''

GET : 이용자에게 URL을 입력 받는 페이지를 제공
POST : param파라미터 값과 쿠키에 FLAG를 포함해 check_xss함수를 호출

2) 취약점 분석

이용자의 입력 값을 페이지에 출력 할 때 주의사항
- ‘render_template’ 함수를 사용해 출력 시 템플릿 변수를 기록 할 때 HTML 엔티티코드로 변환 해 저장하기 때문에 XSS가 발생하지 않음

3) 익스플로잇

탈취한 쿠키를 전달 받기 위한 조건

외부에서 접근 가능한 웹 서버를 사용

(문제의 memo) 엔드 포인트를 사용

속성	설명
location.href	전체 URL을 반환하거나, URL을 업데이트할 수 있는 속성값입니다.
document.cookie	해당 페이지에서 사용하는 쿠키를 읽고, 쓰는 속성값입니다.

4) 쿠키 탈취

memo 페이지 사용

웹 서버 사용

[WEB] Cookie & Session

Wed, 22 Feb 2023 08:01:43 GMT

1) 쿠키

클라이언트의 정보 기록과 상태 정보를 표현하는 용도로 사용
쿠키는 key와 value로 이루어진 일종의 단위
아래와 같은 HTTP 특징으로 서버는 클라이언트를 기억할 수 없기 때문에 쿠키를 사용

HTTP 프로토콜 특징 Connectionless : 요청 하나에 하나의 응답을 한 후 연결을 종료 Stateless : 통신이 끝난 후 상태 정보를 저장하지 않는 것

2) 쿠키변조

쿠키는 클라이언트에 저장되고, 요청에 포함되는 정보
따라서, 악의적인 클라이언트가 쿠키 정보를 변조해 서버에 요청을 보낼 수 있음
서버가 검증 없이 쿠키를 통해 이용자의 인증정보를 식별한다면 타 이용자를 사칭해 정보를 탈취할 수 있음 ex) Cookie : id=admin;

3) 세션

쿠키에 인증 상태를 저장하지만, 클라이언트가 인증정보를 변조할 수 없게 세션을 사용
작동 방식 : 인증정보를 서버에 저장하고, 데이터에 접근 할 수 있는 키(랜덤 문자열)을 만들어 클라이언트에게 전달
- 해당 키를 Session ID라고 함
브라우저는 해당 키를 쿠키에 저장하고 HTTP요청을 보낼 때 사용
서버는 요청에 포함된 키에 해당하는 데이터를 가져와 인증 상태를 확인 ex) Cookie: session=nhmuifinwkernejrwbwkja;

쿠키는 데이터 자체를 이용자가 저장 / 세션은 서버가 저장

4) 쿠키 적용법

쿠키는 클라이언트에 저장되기 때문에 조회,수정,추가 가능하며 만료시간을 지정할 수 있음 만료시간 이후에는 클라이언트에서 쿠키가 삭제됨
서버 : HTTP 응답 헤더에 쿠키 설정 헤더 (Set-Cookie)를 추가하면 클라이언트의 브라우저가 쿠키를 설정
클라이언트* : 자바스크립트를 사용해 쿠키를 설정
Console탭 > document.cookie를 입력하면 쿠키 정보를 확인가능
- 쿠키 옵션(HttpOnly)에 따라 자바스크립트에서 쿠키 확인이 불가능
Application탭 > Cookies를 펼치면 쿠키 정보 확인가능

5) 세션 활용

쿠키에는 세션정보가 저장되어 있고, 서버는 이를 통해 이용자를 식별하고 인증 처리함
공격자가 이용자의 쿠키를 훔칠 수 있으면, 세션에 해당하는 이용자의 인증상태를 훔칠 수 있음 == 이를 세션 하이재킹(Session Hijacking)

1) 엔드포인트: /

쿠키에 존재하는 username이 “admin”일 경우 FLAG를 출력하는 문제

@app.route('/') # / 페이지 라우팅 
def index():
    username = request.cookies.get('username', None) # 이용자가 전송한 쿠키의 username 입력값을 가져옴
    if username: # username 입력값이 존재하는 경우
        return render_template('index.html', text=f'Hello {username}, {"flag is " + FLAG if username == "admin" else "you are not admin"}') # "admin"인 경우 FLAG 출력, 아닌 경우 "you are not admin" 출력
    return render_template('index.html')

메소드 요청마다 다른 기능을 수행 하는 것을 확인 가능

GET : username과 password를 입력할 수 있는 로그인 페이지 제공

POST : 입력받은 username과 password값을 users 변수값과 비교 ex) 손님 계정의 비밀번호는 “guest”, 관리자 비밀번호는 파일에서 읽어온 FLAG임을 확인

@app.route('/login', methods=['GET', 'POST']) # login 페이지 라우팅, GET/POST 메소드로 접근 가능
def login():
if request.method == 'GET': # GET 메소드로 요청 시
    return render_template('login.html') # login.html 페이지 출력
elif request.method == 'POST': # POST 메소드로 요청 시
    username = request.form.get('username') # 이용자가 전송한 username 입력값을 가져옴
    password = request.form.get('password') # 이용자가 전송한 password 입력값을 가져옴
    try:
        pw = users[username] # users 변수에서 이용자가 전송한 username이 존재하는지 확인
    except: 
        return '' # 존재하지 않는 username인 경우 경고 출력
    if pw == password: # password 체크
        resp = make_response(redirect(url_for('index')) ) # index 페이지로 이동하는 응답 생성
        resp.set_cookie('username', username) # username 쿠키 설정
        return resp 
    return '' # password가 동일하지 않은 경우

try:
    FLAG = open('./flag.txt', 'r').read() # flag.txt 파일로부터 FLAG 데이터를 가져옴.
except:
    FLAG = '[**FLAG**]'
users = {
    'guest': 'guest',
    'admin': FLAG # FLAG 데이터를 패스워드로 선언
}

3) 취약점 분석

요청 패킷 내 username 변수가 포함된 쿠키에 의해 결정되어 문제가 발생함

서버는 별 다른 검증없이 이용자 요청에 포함된 쿠키를 신뢰하고 식별하기 때문에 공격자는 쿠키에 타 계정 정보를 삽입해 계정 탈취 가능

@app.route('/') # / 페이지 라우팅 
def index():
    username = request.cookies.get('username', None) # 이용자가 전송한 쿠키의 username 입력값을 가져옴
    if username: # username 입력값이 존재하는 경우
        return render_template('index.html', text=f'Hello {username}, {"flag is " + FLAG if username == "admin" else "you are not admin"}') # "admin"인 경우 FLAG 출력, 아닌 경우 "you are not admin" 출력
    return render_template('index.html')

4) 익스플로잇

쿠키에 존재하는 username을 “admin”문자열로 조작하면 해결 !
서버가 검증 없이 쿠키를 신뢰하고 인증 정보를 식별할 때 발생할 수 있는 문제점임
- 이러한 문제점은 세션을 사용해 해결 가능하며
- 세션은 인증정보를 서버에 저장하고, 랜덤 키를 클라이언트에게 발급해 서비스 사용

3. Mitigation: Same Origin Policy

1) Same Origin Policy (SOP)

동일 출처 정책(Same Origin Policy, SOP) : 클라이언트가 가져온 데이터를 악의적인 페이지에서 읽을 수 없도록 하는 보안 매커니즘

이용자가 웹 서비스에 접속할 때, 브라우저는 쿠키를 HTTP요청에 포함 시켜 전달 (웹 리소스를 통해 간접적으로 타 사이트에 접근할 때도 쿠키 전달)
이러한 특징 때문에, 악의적인 페이지가 클라이언트의 권한을 이용해 대상 사이트에 http 요청을 보내고, http응답 정보(쿠키 등)를 획득하는 코드를 실행 가능

2) Same Origin Policy의 오리진(Origin) 구분 방법

Origin은 프로토콜,포트,호스트로 구성
- 해당 구성요소가 모두 일치해야 동일한 오리진으로 판단함

3) Same Origin Policy 실습

SOP는 same origin일때만 정보를 읽을 수 있도록 해줌
외부 출처에서 불러온 데이터를 읽으려고 할때는 오류가 발생해 읽지 못함
- 읽는 것 외에 데이터를 쓰는것을 문제없이 동작 가능

4) Same Origin Policy (SOP) 데모










treasure

same origin 버튼 : 모두 성공적으로 수행, treasure 값 출력
cross origin 버튼 : 세번째 과정이 실패하여 cross origin 데이터에 접근 불가한 오류 발생

5) Same Origin Policy 제한 완화

브라우저가 SOP에 구애받지 않고 외부 출처에 대한 접근을 허용해 주는 경우가 존재
이미지나 자바스크립트 CSS등 리소스를 불러오는 ,