개발자를 위한 보안 정복: 공유 및 학습 시리즈 - 비즈니스 로직 문제

이번 Share & Learn 시리즈에서 다룬 대부분의 취약점과 달리, 비즈니스 로직 문제는 코딩 오류와 직접적인 관련이 없습니다. 코딩 문제도 원인의 일부일 수 있지만, 비즈니스 로직 오류는 대부분 앱을 처음 설계할 때 발생하는 설계 결함이나 잘못된 논리적 가정으로 인해 발생합니다.

비즈니스 로직 문제는 사용자가 애플리케이션을 사용할 때 예상치 못한 행동을 할 경우 발생할 수 있습니다. 주문을 갑자기 취소하거나, 쿠폰 코드를 너무 많이 적용하거나, 단순히 예상된 단계를 건너뛰고 애플리케이션이 처리 방법을 모르는 행동을 하는 등 거의 모든 상황이 해당될 수 있습니다. 비즈니스 로직 결함을 악용하는 데는 특별한 훈련조차 필요하지 않으며, 고정관념에서 벗어나 생각할 줄 아는 호기심 많은 악의적인 사용자만 있으면 충분합니다.

이번 에피소드에서는 다음 내용을 배웁니다.

• 공격자가 비즈니스 로직의 결함을 악용하는 방법
• 비즈니스 로직 결함이 있는 애플리케이션이 위험한 이유
• 비즈니스 로직 오류를 방지하는 기술

공격자는 어떻게 비즈니스 로직 문제를 악용할까요?

대부분의 익스플로잇과 달리, 이 취약점을 유발하는 특정 코드 문자열을 콕 집어낼 수는 없습니다. 대신, 이는 사용자가 예상치 못한 행동을 하고 프로그램이 이를 처리하는 방법을 모를 때 발생합니다. 예를 들어, 뱅킹 애플리케이션에서 사용자가 다른 계좌로 돈을 이체할 수 있다고 가정해 봅시다. 그런데 악의적인 사용자가 돈을 보내는 대신 다른 계좌로 마이너스 금액을 보내려고 시도합니다. 뱅킹 애플리케이션은 어떻게 반응할까요? 충돌이 발생할까요? 이체를 거부할까요? 아니면 마이너스 숫자의 균형을 맞추기 위해 이체를 시작한 사용자에게 오히려 돈을 보내버릴까요?

전자상거래 사이트는 많은 사용자가 상호작용하고 다양한 구성 요소로 이루어져 있기 때문에 비즈니스 로직 결함에 특히 취약합니다. 사용자가 주문을 갑자기 취소하거나, 단일 쿠폰을 여러 번 적용하려고 하거나, 쇼핑 카트에 상품을 과도하게 담는 등의 행동은 애플리케이션에 예상치 못한 상황을 초래할 수 있습니다. 프로그램이 알 수 없는 상황에 직면했을 때 어떻게 반응할지 예측할 방법은 사실상 없습니다. 최상의 시나리오는 오류 메시지를 생성하는 것이겠지만, 앱이 상품을 무료로 제공하는 것과 같은 더 나쁜 행동을 하지 않으리라는 보장은 없습니다.

비즈니스 로직 문제가 위험한 이유는 무엇일까요?

비즈니스 로직 문제는 프로그래밍이나 해킹 교육을 받지 않은 사람이라도 누구나 악용할 수 있기 때문에 매우 위험합니다. 실제로 필요한 것은 실험 정신과 시간, 그리고 애플리케이션의 설계 방식에서 결함을 찾기 위해 이리저리 클릭해보는 것뿐입니다. 일단 악의적인 사용자가 사이트의 비즈니스 로직에서 결함을 발견하면, 그들은 이를 최대한 악용할 것이 분명합니다.

가장 큰 위험은 일반적으로 금전적인 피해입니다. 예를 들어 사용자가 대형 TV 20대를 결제 없이 구매하는 상황 등이 발생할 수 있습니다. 하지만 비즈니스 로직 결함은 다른 문제도 일으킬 수 있습니다. 예를 들어, 사이트를 보호하는 비밀번호 기능이 사용자가 계속해서 취소 버튼을 누를 경우 어떻게 해야 할지 모른다면, 로그인 과정을 완전히 우회하게 만들 수도 있습니다.

비즈니스 로직 문제로 인해 얼마나 큰 피해가 발생할지 예측할 방법은 없습니다. 종종 문제의 첫 징후는 사용자가 이미 이를 악용한 지 한참 후에야 나타납니다.

비즈니스 로직 문제 해결하기

안타깝게도 취약점 스캐너와 같은 일반적인 도구로는 비즈니스 로직 문제를 식별하거나 수정할 수 없습니다. 비즈니스 로직 문제에 대한 테스트는 쉽게 자동화할 수 없기 때문입니다. 이를 방지하는 가장 좋은 방법은 애플리케이션 개발 단계에서 철저한 계획, 오류 처리, 그리고 부정적 테스트 케이스(negative test cases)를 구현하는 것입니다. 이를 위해서는 먼저 애플리케이션이 수행하도록 설계된 모든 가능하고 바람직한 행동을 포함하는 명확하게 정의된 비즈니스 규칙 세트가 필요합니다.

비즈니스 규칙 계획이 마련되었다면, 비즈니스 로직 결함이 스며드는 것을 방지하는 가장 좋은 방법 중 하나는 데이터와 트랜잭션이 애플리케이션 내에서 흘러야 하는 모든 경로를 보여주는 순서도를 만드는 것입니다. 여기에는 사용자가 선택을 하거나 데이터를 입력할 수 있는 모든 인스턴스에 대한 행동 모델링이 포함됩니다. 순서도의 가능한 행동들이 비즈니스 규칙 계획의 기능과 일치하는지 지속적으로 확인하세요.

마지막으로, 설계, 구현 및 테스트 단계에서 비즈니스 로직의 결함을 식별하기 위해 위협 모델링을 활용하세요. 안전장치로서, 프로그램이 예상치 못한 상황에 직면했을 때 취해야 할 행동을 설정해 두세요. 이는 단순히 해당 행동을 거부하고 관리자에게 문제 발생을 알리는 것만큼 간단할 수 있습니다.

비즈니스 로직 문제에 대한 추가 정보

더 자세한 내용은 비즈니스 로직 문제에 관한 OWASP 페이지를 참조하세요. 또한 사이버 보안 팀을 최고의 사이버 전사로 양성하는 Secure Code Warrior 플랫폼의 무료 데모를 통해 방금 습득한 방어 지식을 직접 테스트해 볼 수 있습니다. 이 취약점과 다양한 위협을 해결하는 방법에 대해 더 알아보려면 Secure Code Warrior 블로그를 방문하세요.

지금 바로 비즈니스 로직 취약점을 찾아 제거할 준비가 되셨나요? 플랫폼으로 이동하여 실력을 테스트해 보세요: [여기서 시작하기]