웹쇼핑몰 사이트 기초적인 injection 공격 및 가격 변조

간단한 인젝션 공격 및 상품 가격을 변조하는 공격을 해보고자 합니다

해당 웹 쇼핑몰은 취약점이 있는 쇼핑몰로 정보보안 교육용으로서 해당 이미지를 사용하여 실습해보겠습니다. 

우선 프록시 프로그램인 Burp Suite를 실행시키고 intercept를  off로 해둡니다.

우선 쇼핑몰 메인 페이지 입니다.

회원가입 없이 간단하게 injection을 해봅니다

해당 쇼핑몰의 로그인시도 질의는 SELECT ID,PW FROM USER WHERE ID=' ' AND PW=' '로 되어있습니다

앞서 말했듯이 공부용으로 만든 사이트 이므로 

이러한 질의는 injection 공격에 아무런 방어책을 설정하지 않았기 때문에 쉽게 공격에 노출이 됩니다.

 

 

[ ID = 1' or 1=1# ]  //  #은 DB에서 주석을 의미 

[PW = 아무거나]

관리자 아이디로 로그인이 되었네요

다음으로 상품을 구매할 때 가격을 변조시켜서 구매해보도록 하겠습니다.

결제금액은 9000원 입니다. 그리고 해당 결제금액을 알아볼수 있도록 바로 밑에 입력값을 1000으로 해둘게요

그리고 burp suite에서 intercept is on으로 락을 걸어두고 주문하기를 합니다.

락을 걸어 두어서 서버에 전송될 패킷 정보가 나옵니다. 

입력값들을 찾아보면 9000이 결제금액인것을 확인하실수 있습니다.

해당 값을 0으로 할인금을 10000원으로 설정하고 락을 풀면

 

결제금액이 0원으로 변조시킨것을 확인하였습니다.