정보 노출, 파라미터 변조 취약점

1. 파라미터 변조 취약점 정의

파라미터 변조는 사용자가 서버로 보내는 요청 값을 조작하여 정상적인 로직을 우회하는 공격이다.

예를 들어 계좌이체 기능이 있을 때 흐름은 다음과 같다.

• 정상 흐름
  → 금액, 계좌번호, transactionid 등이 서버로 전달됨
• 취약한 구조
  → 서버가 이 값을 그대로 신뢰하고 검증하지 않음

이 경우, 사용자는 요청 데이터를 마음대로 수정할 수 있다.

2. 사례 예시

정상 동작 과정

• 계좌이체를 진행하면 이를 구분할 수 있는 트랙잭션 값이 생성됨
• 이 값은 거래를 식별하는 역할을 함

취약점 발생 지점

• 이 트랜잭션 관련 값을 복사한 뒤 새로운 요청에서 그대로 재사용하면서 금액(deposit)을 임의로 증가시켜 전송

결과적으로, 서버는 트랜잭션 값을 검증하지 않고 단순히 정상 거래로 인식하여 이체를 수행할 수 있음

핵심 원인

• 서버가 트랜잭션 값의 유효성을 검증하지 않음
• 거래 요청과 트랜잭션 값 간의 연관성을 확인하지 않음
• 클라이언트 값을 그대로 신뢰

---

3. 정보 노출 취약점 정의

정보 노출은 서버 내부 정보가 외부 사용자에게 드러나는 취약점이다.

이 취약점은 단독으로도 위험하지만, 다른 공격의 출발점이 된다는 점에서 더 중요하다.

4. 사례

token 매개변수가 비어있고, 이 값에 프록시 도구 등을 활용해서 값을 추가하면 에러가 발생한다.

에러 메시지에는 다음과 같은 정보가 포함되어 있다고 가정해보겠다.

• 서버 구조
• WAS 정보 
• DB 연결 방식
• 클래스 및 패키지 정보

이와 같은 경우에는 에러 메시지를 통해 시스템 구조를 역으로 추적할 수 있다.

(상기와 같은 정보를 알게 되면 기본 DB 설정 파일 등을 탐색해서 내부 데이터베이스에 접근할 수 있는 계정을 탈취하는 등 해커가 치명적인 행위를 저지를 수 있다.)