인자 전달값 조작

정의
- 요청하는 값을 중간에서 가로챈 후 매개 변수값을 변조하여 전송한다.

영향
- 사용자의 입력값을 확인하여 정보를 수정해 악용할 경우 개인 신상 유출이나 신용카드 도용등의 피해가 발생할 수 있다.

진단
계좌 번호와 입금 금액을 입력하고 전송하는 중간에서 버프슈트로 잡았다.

그림 1-1 계좌정보

입금 금액을 123456에서 78901으로 변경해서 전송했다.

그림 1-2 입금금액 변조

ViewStatement 상에서 보이는 데이터는 변조되기 전의 데이터인 123456이라는 것을 알 수 있다.

그림 1-3 ViewStatement 화면

대응방안
- 모든 입력값에 대한 유효성 검증을 서버에서 수행한다. 상태 정보나 민감한 데이터 특히 사용자의 세션정보와 같은 중요한 정보는 반드시 서버에서 검증한다.