관리자 인터페이스 (페이지) 확인

Steps.   1. 개요  2. 테스트 방법

1. 개요

관리자 인터페이스는 어플리케이션 프로그램 또는 특정 사용자가 사이트에 특별한 활동을 할 수 있도록 어플리케이션 프로그램 서버에 존재 한다. 관리자 인터페이스는 아무나 접근해서는 안된다. 

만약 관리자 인터페이스가 노출되어 공격자가 접근 할 수 있다면, 인증 우회, 무차별 대입 공격등을 이용하여, 관리자로 로그인이 가능하게 된다. 이러한 관리자 인터페이스는 인증되지 않은 접근으로로부터 보호하기 위한 충분한 제어를하지 않는 경우 많다.

2. 테스트 방법

관리자 인터페이스는 존재하지만, 테스터의 눈에는 보이지 않을 수 있다. 이런 경우 아래와 같은 방법으로 관리자 인터페이스를 찾아본다. 

1. 가장 기본적으로 /admin, /administrator, /manager등의 요청을 보내 관리자 인터페이스의 경로를 추측한다.

2. 무차별 대입으로 관리자 인터페이스 경로를 확인 한다. 많은 문자열을 대입하기에 시간이 걸리지만 관리자 인터페이스가 추측하기 어려운 문자열로 되어 있서도 찾을 수 있다.

3. 소스코드에 존재하는 주석 또는 링크를 확인 한다. 많은 사이트들은 사용자들을 위해 모든 페이지에서 공통 코드를 사용한다. 이때 클라이언트로 전송 된 모든 소스를 검사를 하면, 관리자 기능에 대한 링크 및 관리자 인터페이스에 대한 주석을 발견할 수 있다.

4. 서버 및 어플리케이션 문서 확인

어플리케이션 프로그램 서버 또는 어플리케이션 프로그램을 설치할 때 배포 된 기본 구성으로 설치한 경우 구성 또는 도움말이 설명된 문서도 같이 포함된다. 

이러한 기본 문서를 사용하여 관리 인터페이스에 접근할 수 있다. 관리 인터페이스를 찾은 후 접근 시 자격 증명이 필요한 경우 Default password 목록을 참고한다.

5. 공개된 관리자 인터페이스 정보 확인

워드 프레스 등 많은 어플리케이션 프로그램에서는 기본 관리 인터페이스를 가지고 있다. 

기본 관리자 인터페이스 페이지 및 경로 예 

1) WebSphere 

/admin  /admin-authz.xml  /admin.conf  /admin.passwd  /admin/*  /admin/logon.jsp  /admin/secure/logon.jsp

2) PHP

/phpinfo  /phpmyadmin/  /phpMyAdmin/  /mysqladmin/  /MySQLadmin  /MySQLAdmin  /login.php  /logon.php  /xmlrpc.php  /dbadmin

3) WordPress

wp-admin/  wp-admin/about.php  wp-admin/admin-ajax.php  wp-admin/admin-db.php  wp-admin/admin-footer.php  wp-admin/admin-functions.php  wp-admin/admin-header.php

6. 대체 서비스 포트 확인

관리자 인터페이스는 기본 어플리케이션 프로그램과 다른 포트에서 확인 할 수 있다. 예를 들어 아파치 톰켓의 기본 관리자 인터페이스는 8080 포트를 사용한다.

Reference : OWASP (https://www.owasp.org)