인자 전달값 조작

■ 인자 전달값 조작

안드로이드 애플리케이션에서 요청하는 값을 중간에서 가로챈 후 매개변수값을 변조하여 전송하는 행위로 본래의 요청값이 변조된 값으로 수정되고 민감한 정보가 포함된 요청이라면 정보 유출의 위험성이 존재하게 되는 취약점이다.

 

안전하지 않은 HTTP 취약점과 같이 BurpSuite에서 프록시를 설정하고 핸드폰에서 프록시를 설정하여 request, response 패킷을 확인을 해본다.

InsecureBankv2 애플리케이션을 통해 Transfer 계좌이체를 진행하는 과정에서 계좌 정보를 얻어오기를 하였다. response 패킷을 확인해보니 to:5555555555 from:999999999의 데이터를 받아오고 있었다.

이를 중간에서 from의 값을 abd로 변경한뒤에 Forward 버튼을 눌러 response 패킷을 받아보았다.

from:abd로 조작된 값이 핸드폰에서 받아져 그대로 설정이 되어있는걸 확인할 수 있었다.

■ 대응방안

입력값에 대한 유효성 검증을 서버에서 수행해야 하며 상태 정보나 민감한 데이터인 사용자의 세션 정보와 중요한 정보는 반드시 서버에서 검증이 이루어져야 한다.