훈련 데이터 포이즈닝(Training Data Poisoning)은 기계 학습 시스템의 훈련 데이터를 악의적으로 조작하여 모델의 성능을 저하시키거나, 공격자가 원하는 특정 행동을 모델이 수행하도록 만드는 공격 기법입니다. 이는 주로 머신러닝의 취약점을 악용하여 시스템을 오작동하게 만드는 데 사용됩니다. LLM에 공격 연구에 관한 전반적인 내용을 보시려면 아래 페이지를 참고하세요.(공격 실제 실습 포함) AI 보안 위협 분석(AI 모델 해킹 방법 LLM 프롬프트 인젝션과 대처법, LLM과 API 취약점 연계 분석, 공LLM은 Large Language Model의 약자로, 대규모 언어 모델을 뜻합니다. 이는 방대한 텍스트 데이터로 학습되어 언어 이해와 생성 능력을 가진 인공지능 모델입니다. LLM은 자..
LAB : Exploiting vulnerabilities in LLM APIs(LLM API의 취약점 악용을 이용한 공격) 실습 사이트(버프스위트 아카데미) Web Application Security, Testing, & Scanning - PortSwiggerPortSwigger offers tools for web application security, testing, & scanning. Choose from a range of security tools, & identify the very latest vulnerabilities.portswigger.net 실습 및 공격 목표이 랩에는 API를 통해 악용될 수 있는 OS 명령 주입 취약성(OS Command Injection)이 포함되어 있..
SE - 세션 예측 ■ 점검내용 단순한 방법(연속된 숫자 할당 등)으로 생성되는 세션 ID를 예측하여 세션 탈취 여부 점검 ■ 점검목적 사용자의 세션ID를 추측 불가능하도록 난수로 생성하여 공격자의 불법적인 접근을 차단하기 위함 ■ 보안위협 사용자에게 전달하는 세션 ID가 일정한 패턴을 가지고 있는 경우 공격자가 세션 ID를 추측하여 불법적인 접근을 시도할 수 있음 ■ 참고 ※ 세션(Session): 일정 시간 동안 같은 사용자(브라우저)로 부터 들어오는 일련의 요구를 하나의 상태로 보고 그 상태를 일정하게 유지시키는 기술※ 소스코드 및 취약점 점검 필요 점검대상 및 판단기준 ■ 대상 : 웹 애플리케이션 소스코드 양호추측 불가능한 세션 ID가 발급되는 경우 취약세션 ID가 일정한 패턴으로 발급되는 경우..
SC - 불충분한 세션 만료 ■ 점검내용 세션의 만료 기간 설정 여부 점검 ■ 점검목적 세션 타임아웃 기능을 구현하여 공격자가 만료되지 않은 세션 활용을 방지하기 위함 ■ 보안위협 세션의 만료 기간을 정하지 않거나, 만료기한을 너무 길게 설정된 경우 악의적인 사용자가 만료되지 않은 세션을 활용하여 불법적인 접근이 가능할 수 있음 ■ 참고 ※ 소스코드 및 취약점 점검 필요 점검대상 및 판단기준 ■ 대상 : 웹 애플리케이션 소스코드, 웹 서버 양호세션 종료 시간이 설정되어 있는 경우 취약세션 종료 시간이 설정되어 있지 않아 세션 재사용이 가능한 경우 ■ 조치방법 세션 종료 시간 설정 또는 자동 로그아웃 기능 구현(세션 종료 시간은 사이트의 특성에 따라 달라질 수 있으므로 사이트의 특성에 맞게 적정 시간 설..
PT - 경로 추적 ■ 점검내용 웹 서버와 웹 애플리케이션의 파일 또는 디렉터리의 접근 통제 여부 점검 ■ 점검목적 웹 서버 또는 웹 애플리케이션의 중요한 파일과 데이터의 접근 및 실행을 방지하고자 함 ■ 보안위협 웹 서버와 웹 애플리케이션의 파일 또는 디렉터리 접근이 통제되지 않아 웹 서버 또는 웹 애플리케이션의 중요한 파일과 데이터에 접근을 허용하는 취약점으로 웹 루트 디렉터리에서 외부의 파일까지 접근하여 이를 실행할 수 있음 ■ 참고 ※ 소스코드 및 취약점 점검 필요 점검대상 및 판단기준 ■ 대상 : 웹 애플리케이션 소스코드, 웹 서버, 웹 방화벽 양호웹 루트 디렉터리보다 상위 디렉터리(예. /root)에 접근이 불가능한 경우 취약웹 루트 디렉터리보다 상위 디렉터리에 접근이 가능한 경우 ■ 조치방..
LAB : Exploiting LLM APIs with excessive agency 실습 사이트(버프스위트 아카데미) Web Application Security, Testing, & Scanning - PortSwiggerPortSwigger offers tools for web application security, testing, & scanning. Choose from a range of security tools, & identify the very latest vulnerabilities.portswigger.net 목표랩을 해결하려면 LLM을 사용하여 다음 사용자를 삭제해야합니다.- carlos 필수 지식 이 취약점에 대한 내용을 진행하려면 다음 사항을 알아야 합니다. 1. LLM A..
LLM은 Large Language Model의 약자로, 대규모 언어 모델을 뜻합니다. 이는 방대한 텍스트 데이터로 학습되어 언어 이해와 생성 능력을 가진 인공지능 모델입니다. LLM은 자연어 처리(NLP)의 다양한 작업을 수행할 수 있으며, 주로 다음과 같은 특징과 활용 사례를 가집니다. LLM(대규모 언어 모델)이란? 대규모 언어 모델(LLM)은 사용자 입력을 처리하고 단어 시퀀스를 예측하여 그럴듯한 응답을 만들 수 있는 AI 알고리즘입니다. 이는 방대한 준공개 데이터 세트에서 학습되며, 머신 러닝을 사용하여 언어의 구성 요소가 어떻게 어울리는지 분석합니다. LLM은 일반적으로 프롬프트라고 알려진 사용자 입력을 수용하기 위한 채팅 인터페이스를 제공합니다. 허용되는 입력은 부분적으로 입력 검증 규칙에..
PL - 위치 공개 ■ 점검내용 예측 가능한 폴더의 위치 사용 여부 및 불필요한 파일의 존재 여부 점검 ■ 점검목적 공격자가 폴더의 위치를 예측하여 파일 및 정보 획득을 방지하고자 함 ■ 보안위협 폴더나 파일명의 위치가 예측 가능하여 쉽게 노출될 경우 공격자는 이를 악용하여 대상에 대한 정보를 획득하고 민감한 데이터에 접근 가능 ■ 참고 - 점검대상 및 판단기준 ■ 대상 : 웹 서버 양호불필요한 파일이 존재하지 않고, 샘플 페이지가 존재하지 않을 경우 취약불필요한 파일이 존재하거나, 샘플 페이지가 존재하는 경우 ■ 조치방법 웹 루트 디렉터리 이하 모든 불필요한 파일 및 샘플 페이지 삭제 점검 및 조치 방법 ■ 점검방법 Step 1) 웹 루트 디렉터리 내 웹 서비스에 불필요한 확장자(.bak, .bac..
IN - 불충분한 인가 ■ 점검내용 민감한 데이터 또는 기능에 접근 및 수정 시 통제 여부 점검 ■ 점검목적 접근 권한에 대한 검증 로직을 구현하여 비인가자의 악의적인 접근을 차단하기 위함 ■ 보안위협 접근제어가 필요한 중요 페이지의 통제수단이 미흡한 경우, 비인가자가 URL 파라미터 값 변경 등의 방법으로 중요 페이지에 접근하여 민감한 정보 열람 및 변조 가능함 ■ 참고 ※ 소스코드 및 취약점 점검 필요 점검대상 및 판단기준 ■ 대상 : 웹 애플리케이션 소스코드 양호접근제어가 필요한 중요 페이지의 통제수단이 적절하여 비인가자의 접근이 불가능한 경우 취약접근제어가 필요한 중요 페이지의 통제수단이 미흡하여 비인가자의 접근이 가능한 경우 ■ 조치방법 접근제어가 필요한 모든 페이지에 권한검증 로직 구현 점..
DI - 디렉터리 인덱싱 ■ 점검내용 웹 서버 내 디렉터리 인덱싱 취약점 존재 여부 점검 ■ 점검목적 디렉터리 인덱싱 취약점을 제거하여 특정 디렉터리 내 불필요한 파일 정보의 노출을 차단 ■ 보안위협 해당 취약점이 존재할 경우 브라우저를 통해 특정 디렉터리 내 파일 리스트를 노출하여 응용시스템의 구조를 외부에 허용할 수 있고, 민감한 정보가 포함된 설정 파일 등이 노출될 경우 보안상 심각한 위험을 초래할 수 있음 ■ 참고 ※ 디렉터리 인덱싱 취약점: 특정 디렉터리에 초기 페이지 (index.html, home.html, default.asp 등)의 파일이 존재하지 않을 때 자동으로 디렉터리 리스트를 출력하는 취약점 점검대상 및 판단기준 ■ 대상 : 웹 서버 양호디렉터리 파일 리스트가 노출되지 않는 경우..
AE - 관리자 페이지 노출 ■ 점검내용 유추하기 쉬운 URL로 관리자 페이지 및 메뉴 접근의 가능 여부 점검 ■ 점검목적 관리자 페이지 URL이 유추하기 쉬운 이름(admin, manager 등) 및 웹 사이트 설계 오류를 수정하여 비인가자의 관리자 메뉴 접근을 방지하고자 함 ■ 보안위협 웹 관리자의 권한이 노출될 경우 웹 사이트의 변조뿐만 아니라 취약성 정도에 따라서 웹 서버의 권한까지도 노출될 수 있음 ■ 참고 ※ 소스코드 및 취약점 점검 필요 점검대상 및 판단기준 ■ 대상 : 웹 애플리케이션 소스코드, 웹 서버, 웹 방화벽 양호유추하기 쉬운 URL로 관리자 페이지 접근이 불가능한 경우 취약유추하기 쉬운 URL로 관리자 페이지 접근이 가능한 경우 ■ 조치방법 유추하기 어려운 이름(포트 번호 변경 ..
CF - 크로스사이트 리퀘스트 변조(CSRF) ■ 점검내용 사용자의 신뢰(인증) 정보의 변조 여부 점검 ■ 점검목적 사용자 입력 값에 대한 적절한 필터링 및 인증에 대한 유효성을 검증하여 신뢰(인증) 정보 내의 요청(Request)에 대한 변조 방지 ■ 보안위협 사용자의 신뢰(인증) 정보 내에서 사용자의 요청(Request)을 변조함으로써 해당 사용자의 권한으로 악의적인 공격을 수행할 수 있음 ■ 참고 ※ CSRF(Cross Site Request Forgery): 사용자가 자신의 의지와는 무관하게 공격자가 의도한 행위(수정, 삭제, 등록 등)를 특정 웹 사이트에 요청하게 하는 공격 유형 ※ OWASP - CSRF 관련 참고사항 https://owasp.org/www-community/attacks/cs..
BF - 약한 문자열 강도 ■ 점검내용 웹페이지 내 로그인 폼 등에 약한 강도의 문자열 사용 여부 점검 ■ 점검목적 유추 가능한 취약한 문자열 사용을 제한하여 계정 및 패스워드 추측 공격을 방지하기 위함 ■ 보안위협 해당 취약점 존재 시 유추가 용이한 계정 및 패스워드의 사용으로 인한 사용자 권한 탈취 위험이 존재하며, 해당 위험을 방지하기 위해 값의 적절성 및 복잡성을 검증하는 로직을 구현하여야 함 ■ 참고 ※ 약한 문자열 강도 취약점: 웹 사이트에서 취약한 패스워드로 회원가입이 가능할 경우 공격자는 추측 및 주변 정보를 수집하여 작성한 사전 파일로 대입을 시도하여 사용자 계정을 탈취할 수 있는 취약점 ※ 소스코드 및 취약점 점검 필요 점검대상 및 판단기준 ■ 대상 : 웹 애플리케이션 소스코드 양호관..
SS - SSI 인젝션 ■ 점검내용 웹페이지 내 SSI 인젝션 공격 가능성 점검 ■ 점검목적 적절한 입력 값 검증 절차를 마련하여 악의적인 파일을 include 시키지 못하도록 하여 불법적인 데이터 접근을 차단하기 위함 ■ 보안위협 해당 취약점이 존재할 경우 웹 서버 상에 있는 파일을 include 시켜 명령문이 실행되게 함으로 불법적으로 데이터에 접근할 수 있음공통 SSI 구현은 외부의 파일을 Include 할 수 있는 명령어를 제공하며, 웹 서버의 CGI 환경 변수를 설정하고 출력할 수 있고, 외부의 CGI 스크립트나 시스템 명령어들을 실행할 수 있으므로 사용자 입력 값에 대한 검증 로직을 추가로 구현하여야 함 ■ 참고 ※ SSI(Server-Side Includes): CGI 프로그램을 작성하거나 ..
