해킹 사례로 보는 보안의 중요성

3. Infra Policy Analysis Development
Software/Service
취약점 분석
사고분석 및 대응 디지털 포렌식
악성코드 분석
데이터 분석
(BIG DATA)

4.  점검한 소프트웨어와 애플리케이션의 76%가 디자인과 실행에 심각한 결함을 가지고 있었다.
Foundstone(미국 보안 컨설팅 회사) 조사
 미국 경제에 600억 달러의 손실이 조잡한 소프트웨어의 품질로 인해 발생하고 있다.
미국 상무부 (US Department of Commerce)
 제품 단계에서 버그를 수정하는 것은 디자인 단계에서 수정하는 것보다 100x100배의 비용이 소비된
다.
IBM System Sciences Institute
 애플리케이션 코드 1,000 라인에는 평균 15개의 보안 취약점이 존재한다.
미국 국방성 자료
 1개의 취약점을 추적하는데 평균 75분이 소요되며, 이를 해결하는데 2시간 내지 9시간이 소요
미국 국방성 5년간 연구 자료

9. * 출처:OWASP 2013 TOP 10 번역 문서

11. http://www.naver.com/search.php?date=20151121
http://www.naver.com/search.php?date=20151121’><script>alert(1)</script
* 즉 사용자가 입력한 값을 아무런 필터 처리를 하지 않고, 그대로 응답에 포함시켜 발생
<?php
$date = $_GET[‘date’];
echo “<a href=‘http://xxx.com/$date’>GO!</a>”
?>
<a href=‘http://xxx.com/20151121’>GO!</a>
<a href=‘http://xxx.com/20151121’><script>alert(1)</script>’>GO!</a>

13. <script>document.onkeypress = function(){
window.status += String.fromCharCode(window.event.keycode);
}
</script>
<script> alert(window.clipboardData.getData(‘Text’)); </script>

15. http://band.us/#!/57513443
http://band.us/124125”><script>alert(‘hi’)</script

17. http://beefproject.com

18. http://www.naver.com/search.php?date=20151121’><script>alert(1)</script
<?php
$date = htmlspecialchars($_GET[‘date’]);
echo “<a href=‘http://xxx.com/$date’>GO!</a>”
?>
<a href=‘http://xxx.com/20151121&#39&gt;&lt;script&gt;alert(1)&lt;/script&gt;’>GO!</a>

28. AndroidManifest.xml
// 문자 메시지 수신 확인
<uses-permission android:name="android.permission.RECEIVE_SMS" />
<uses-permission android:name="android.permission.RECEIVE_MMS" />
// 문자 메시지 읽기
<uses-permission android:name="android.permission.READ_SMS" />
// 전화기 상태 확인, 부팅완료되면 자동 실행
<uses-permission android:name="android.permission.READ_PHONE_STATE" />
<uses-permission android:name="android.permission.RECEIVE_BOOT_COMPLETED" />
// 서버에서 보내는 푸쉬메시지 수신
<permission android:name="com.googleprojects.mmsp.permission.C2D_MESSAGE" android:protectionLevel="signature" />
<uses-permission android:name="com.googleprojects.mmsp.permission.C2D_MESSAGE" />
<uses-permission android:name="com.google.android.c2dm.permission.RECEIVE" />
// 인터넷 접속 - 네트워크 접속을 통한 정보 전송이 예상됨
<uses-permission android:name="android.permission.INTERNET" />
<uses-permission android:name="android.permission.ACCESS_WIFI_STATE" />
<uses-permission android:name="android.permission.CHANGE_WIFI_STATE" />

29. AndroidManifest.xml
// Device Administration API 는 system 레벨에서의 기기 관리
<receiver android:label="google_service_admin"
android:name="com.googleprojects.mm.DevAdReceiver"
android:permission="android.permission.BIND_SERVICE_ADMIN">
<meta-data android:name="android.app.device_admin"
android:resource="@xml/lock_screen" />
<intent-filter>
<action android:name="android.app.action.DEVICE_ADMIN_ENABLED" />
</intent-filter>
</receiver>
lock_screen.xml
// 화면을 잠기는 방법과 시기를 제어할 수 있는 기능 설정
<?xml version="1.0" encoding="utf-8"?>
<device-admin
xmlns:android="http://schemas.android.com/apk/res/android">
<uses-policies>
<force-lock />
</uses-policies>
</device-admin>

34. http://www.securitya.kr/eduwiz/bb/bbs/board.php?bo_table=c403&wr_id=12