진단 리스트 작성

★ 수동 진단 보조 도구를 사용한 진단에서는 수행한 진단 내용과 결과를 스스로 기록해야 한다. 기록하는 방법은 다양하지만, 이책에서는 '진단 리스트'라는 시트를 만들어 괸리하는 방법을 설명한다.

이 진단 리스트는 고객에게 제출하는 보고서가 아니라 취약점 진단자가 진단 상태 등을 기록하고 확인하기 위한 시트다.

● 진단 리스트 개요

수동 진단에서는 진단 대상에 대한 조사 결과와 진단 결과, 발견한 취약점에 대해 기록해야 한다. 기록하는 목적은 다음과 같으며, 이것을 만족하는 것이 '진단 리스트'가 된다.

☞ 취약점 진단을 진행하기 위한 테스트 케이스

☞ 발견한 취약점에 대한 기록

진단 리스트에는 진단 대상 웹 프로그램을 수동으로 크롤링해 URL과 매개변수등을 조사하고 취약점 진단을 수행한 결과를 기록해야 한다. 시트에 기입한 내용의 의미는 뒤에 설명한다.

다음은 스프레드 시트(엑셀 등) 프로그램을 사용해 BadStore의 진단 리스트를 작성한 예제이다.

가장 먼저 발견되는 sql의 에러가 발생이 된것을 확인할 수 있다.

취약점 상세 내용으로 적어야 할 사항은 다음과 같다.

● 취약점을 발견한 곳

URL

매개변수(GET,HOST 데이터, 쿠키 등)

페이지 제목이나 화면 이동 순서

● 취약점을 발견했을 때의 요청과 응답 HTTP 메세지

필요에 따라서 화면 캡쳐

● 취약점이라고 판단한 근거

취약점 발견과 가장 인과관계가 큰 사항

(예) 매개변수에 searchquery=1000'이라고 입력한 결과 DB관련 에러 메세지 'SQL Syntax'가 표시됐기 때문에 SQL인젝션이 있다고 판단

● 취약점을 재현하기 위한 조건

특정 권한이나 조건이 필요한 경우

(예) 사용자 권한으로 로그인이 필요 쇼핑 카트에 상품을 담아야 함

취약점 상세 내용은 보고서에도 기재해야 한다. 보고서를 받을 사람(담당자)도 취약점을 재현할 수 있을 만큼 상세하게 기록해야 한다.