[보안뉴스 요약]해커들이 좋아하는 API 공격 방법 4가지

Pixabay로부터 입수된 Lorenzo Cafaro님의 이미지 입니다.  

1. 코드 주입
 특정한 상황에서 인증 정보가 없이도 로그인이 되도록 한다거나, 추가 멀웨어를 심는 게 ‘코드가 주입된 API’를 통해 가능해짐.
API에 코드가 주입되었는지 아닌지를 확인하려면 여러 가지 ‘수동 점검’을 진행해야함.

2. 리플레이 요청 공격 

첫 번째 악성 요청이 거부되더라도 공격자는 얼마든지 그 다음 요청을 전송할 수 있게 됨. 그래서 해커들이 선호함.
대응방안으로는  HMAC 인증을 활용해 요청 시도 제한 규정을 적용해야 함.

3. 요청 조작 공격
 인증이 된 웹 애플리케이션(API와 같은)을 해커가 활용해 이메일 주소를 변경하거나 은행 계좌로부터 돈을 보내는 등의 결과를 이끌어 내는 공격

4. 사용자 인증 파괴

API 개발자들이 항상 인증 시스템에 철저하게 신경을 쓰는것이 아니기 때문에 만약 API가 해커들의 손에 들어가면 해커는 인증된 사용자 인 것처럼 스스로를 위장시키고 각종 행위를 할 수있음. 
취약점을 통한 공격을 방어하려면 타임스탬프 요청을 활용하는 것이 도움이 됨.

 

https://www.boannews.com/media/view.asp?idx=92617&kind=1&search=title&find=%C7%D8%C4%BF%B5%E9%C0%CC

해커들이 좋아하는 API 공격 방법 4가지