웹 애플리케이션 취약점: XSS SQLi 열거

웹 애플리케이션 취약점 3대 핵심: 식별부터 XSS, SQL 인젝션까지

2025년, 웹 애플리케이션 공격은 전년 대비 무려 89% 증가했습니다. 해커들은 보편적인 보안 결함을 노려 시스템을 침입하고 있습니다. 보안 테스트 전문가는 세 가지 주요 취약점을 파악했으며, 바로 사용자 식별(Enumeration), 크로스사이트 스크립팅(XSS), 그리고 SQL 인젝션입니다. 이 세 가지는 모두 비인가 접근, 데이터 유출, 권한 상승으로 이어질 수 있는 위험 요소입니다.

사용자 식별(Enumeration)

서버가 유효한 로그인 시도와 무효한 시도에 대해 다른 응답을 반환할 경우 발생하는 취약점입니다. 공격자는 이러한 차이를 분석해 정교한 브루트포스 공격을 수행하며, 높은 성공률을 기록합니다.

취약점의 징후:

• 구분되는 오류 메시지: "사용자 없음" vs. "비밀번호 오류"
• 응답 시간 차이: 등록된 사용자에게는 50ms, 무효한 사용자에게는 2000ms

정상 계정이 확인되면, 공격자는 권한을 확장해 더 넓은 범위의 테스트를 진행할 수 있습니다.

크로스사이트 스크립팅(XSS)

악성 자바스크립트 코드를 사용자가 보는 페이지에 삽입할 수 있게 하는 취약점입니다. 브라우저는 해당 스크립트를 정상 코드처럼 실행합니다. 특히 반사형 XSS가 가장 흔히 악용되는 형태입니다.

결과:

• 쿠키 및 세션 토큰이 외부 서버로 도용됨
• 세션 강탈: 피해자의 이름으로 비밀번호 변경, 거래 수행 등
• UI 위조를 통한 피싱 공격
• 리다이렉트를 통해 악성코드 배포

SQL 인젝션

사용자 입력을 통해 SQL 쿼리를 조작하는 기법입니다. 예를 들어, 'admin' --를 입력하면 주석 이후의 쿼리 부분이 무시되며 비밀번호 검증을 우회할 수 있습니다.

SELECT * FROM users WHERE login='input' AND password='input' 같은 쿼리는 적절한 보호 조치 없이 매우 취약합니다.

위험 요소:

• 데이터 덤프: 사용자명, 비밀번호, 결제 정보 유출
• 데이터 변조: 잔액 조작, 관리자 계정 추가
• 테이블 삭제
• DBMS를 통해 원격 코드 실행(RCE)

개선 전략

사용자 식별 문제 해결을 위해, 인증(로그인, 회원가입, 비밀번호 재설정) 과정에서 모든 응답을 동일하게 표준화하세요. 응답 시간을 일정하게 유지하려면 패딩 또는 요청 제한 기능을 활용하세요.

XSS 방어는 출력 정제를 통해 가능합니다. 다음을 이스케이프 처리하세요:

• HTML: < → <, > → >
• 속성: " → "
• 자바스크립트: 문자열 이스케이프 처리

DOMPurify 같은 라이브러리를 사용해 허용된 태그(예: 굵게, 기울임꼴)만 안전하게 렌더링할 수 있습니다.

SQL 인젝션은 준비된 문장(Prepared Statements)이나 ORM을 사용해야 해결됩니다. PDO 예시:

$stmt = $pdo->prepare("SELECT * FROM users WHERE login = ? AND password = ?");
$stmt->execute([$login, $password]);

파라미터는 드라이버가 처리하므로, 입력값이 코드로 실행되지 않습니다. 동적 쿼리가 필요한 경우 mysqli_real_escape_string 등을 사용하세요.

핵심 요약

• 사용자 식별은 가장 흔한 결함이며, 응답 시간과 메시지 차이를 통해 감지 가능합니다.
• XSS 방어는 출력 인코딩이 핵심이며, 입력 검증만으로는 충분하지 않습니다.
• SQL 인젝션은 매개변수화를 통해 해결되며, 절대 문자열을 쿼리에 직접 연결해서는 안 됩니다.
• 정기적인 침투 테스트를 통해 공격 체인(식별 → XSS → SQLi)을 사전에 발견할 수 있습니다.

침투 테스트는 실제 공격을 시뮬레이션하며, 개념 증명, 위험 평가, 개선 방법을 포함한 상세한 보고서를 제공합니다. 이를 생략하면 시스템은 진화하는 위협에 무방비 상태로 남아 있습니다.

— Editorial Team