Notice
Recent Posts
Recent Comments
| 일 | 월 | 화 | 수 | 목 | 금 | 토 |
|---|---|---|---|---|---|---|
| 1 | 2 | |||||
| 3 | 4 | 5 | 6 | 7 | 8 | 9 |
| 10 | 11 | 12 | 13 | 14 | 15 | 16 |
| 17 | 18 | 19 | 20 | 21 | 22 | 23 |
| 24 | 25 | 26 | 27 | 28 | 29 | 30 |
Tags
- XSS
- foremost
- vulnhub
- MFT
- frida
- base64
- logstash
- ctf
- elasticsearch
- Openstack
- Strings
- lord of sql injection
- ESXi
- CTF-d
- beebox
- InsecureBank
- diva
- 2018
- kibana
- Docker
- NTFS
- SQL Injection
- Volatility
- igoat
- 인시큐어뱅크
- 안드로이드
- 파이썬
- Reflected XSS
- Suninatas
- otter
Archives
- Today
- Total
Information Security
취약한 인증 메커니즘 본문
정의
- 정상적인 인증 절차를 우회하여 잘못된 인증으로 접근 권한을 취득하는 취약점
발생 위치
- AndroidManifest.xml
영향
- AndroidManifest.xml을 액티비티 속성으로 로그인 인증 없이 권한이 우회된다.
진단
am 명령어로 DoTransfer 액티비티 속성을 실행시켰다.
로그인 인증 과정 없이 DoTransfer 액티비티가 호출되었다.
대응방안
- 컴포넌트에 대한 접근은 외부에 허락하지 않는 것이 안전하다.
액티비 속성을 android:exported=”false” 설정하고 “true”로 설정할 경우 별도의 인텐트 필터로 검증한다.
'모바일 > InsecureBank 분석' 카테고리의 다른 글
| 안전하지 않은 콘텐츠 프로바이더 접근 (0) | 2019.07.14 |
|---|---|
| 루팅 탐지 우회 (0) | 2019.07.14 |
| 액티비티 컴포넌트 취약점 (0) | 2019.07.13 |
| 로컬 암호화 이슈 (0) | 2019.07.13 |
| 브로드캐스트 리시버 결함 (0) | 2019.07.13 |
'모바일/InsecureBank 분석' Related Articles
more
