28. 쿠키변조(CC)

 

쿠키변조 취약점은 보호되지 않은 쿠키를 사용하여 쿠키 인젝션 등과 같은 쿠키 값 변조를 통한 데이터의 위변조가 가능한 취약점을 의미합니다.

사용자정보, 중요정보 등을 쿠키에 담아놓은 경우에 이러한 정보를 해커는 쉽게 탈취할 수 있습니다.

 

 

#방법1

사용자의 쿠키 정보가 스크립트명령어로 실행하여 탈취되지 않도록 하여야합니다.

document.cookie와 같은 자바스크립트로 쿠키를 조회하는 것을 방지하게 위해서 http only 같은 옵션을 부여 하기도 합니다

아래는 톰캣 설정의 샘플 모습 입니다.

* 샘플 대상 파일 : web.xml

<?xml version="1.0" encoding="UTF-8"?>
<web-app>   
    <!-- 생략.. -->

    <session-config>
        <cookie-config>
            <name>원하는이름입력</name>  <!-- 세션키값 이름을 바꿉니다 -->
            <http-only>true</http-only>  <!-- document.cookie와 같은 자바스크립트로 쿠키를 조회하는 것을 막는 옵션 -->
        </cookie-config>
    </session-config>
</web-app>

 

#방법2

주요 정보를 쿠키를 활용하여 관리하지 않거나 또는 암호화된 값을 쿠키에서 사용하도록 변경 합니다.

가급적이면 주요 정보를 쿠키를 활용하지 않는 것이 바람직 하겠습니다.

 

#방법3

쿠키의 정보를 해커카 탈취해서 실행하려면 기본적으로 크로스 사이트 리퀘스트 변조(XSS) 에 대해서 대비가 되어야 합니다. 해커가 쿠키를 탈취 하였다는 것은 XSS 공격에 성공하였기 때문 입니다.

https://lts0606.tistory.com/549

14. 크로스 사이트 리퀘스트 변조(CSRF)

 

이상으로 쿠키변조(CC) 조치 방법에 대해서 간단하게 살펴보았습니다.

궁금한점 또는 틀린 부분은 언제든 연락주세요! 👻