[Web/Android/iOS] 취약한 HTTPS 관련 항목 진단

 

주통기반 항목에는 없지만 전자금융 기반으로 모의해킹을 진행하면

취약한 HTTPS 프로토콜/암호화 알고리즘 등등 HTTPS 자체에 대해 점검을 하는 항목이 몇개있다.

원래는 전자금융기반 항목도 웹에만 있었던 항목들인데

2023년부터는 모바일까지 추가되어 포스팅을 하나 해야겠다는 생각으로 적음

 

어쨌든 이 항목들을 점검하는 몇가지 방법이 있다.

 

openssl과 sslcan 이용

openssl 먼저 설치가 필요하다

아래는 윈도우 버전 설치

리눅스는 기본으로 깔려있었던것 같기도하고...  없다면 wget 명령어로 받으면된다

https://slproweb.com/products/Win32OpenSSL.html

Win32/Win64 OpenSSL Installer for Windows - Shining Light Productions

 

그리고 스캐닝 도구는 아래 깃허브

https://github.com/rbsec/sslscan

GitHub - rbsec/sslscan: sslscan tests SSL/TLS enabled services to discover supported cipher suites

 

sslscan을 실행하면 아래와같이 TLS 버전은 무엇을 사용하는지 하트블리드 취약점의 가능성이 있는지

암호화 알고리즘은 무엇을 사용하는지 등등 정보들을 확인할 수 있다.

 

반응형

burpsuite를 이용한 진단

버프슈트는 웹과 관련된 모든 도구가 존재해서 당연히 SSL/TLS를 진단하는 도구도 있다.

익스텐션 기능에 BApp Store에서 SSL Scanner라는 도구를 받을 수 있다

도구와 관련된 깃허브

https://github.com/portswigger/ssl-scanner

GitHub - PortSwigger/ssl-scanner: Burp Suite plugin for scanning SSL vulnerabilities.

 

만약 도구를 설치했는데 아래와같이 Jython 에러가 발생한다면

 

아래 사이트에서 jython-standalone 파일을 받아서 버프슈트내 파이썬 환경에 추가해주면된다

https://www.jython.org/download

Downloads

 

 

그럼 정상적으로 설치가 됨

TLS1.3은 아직 지원이 안된다고한다.

툴을 사용하면 

빠르게 결과를 알려준다

하트블리드를 포함해

Sweet32 Lucky13과 같은 취약점에 대해서도 어느정도 파악이 되고

그 아래에 어떤 암호화 알고리즘이 어떤 취약점에 노출되는지도 표현해준다.

 

 

웹 도구를 이용한 진단

아래 사이트에서 확인할 수 있다.

https://www.ssllabs.com/

Qualys SSL Labs

 

서버를 입력해서 좀 기다리게되면 아래와같이 결과를 보여준다

 

3가지 방법 모두 동일할 때도 있고 결과가 조금씩 다를 때도 있는데 tls 1.3 버전만 아니라면

burp 익스텐더 스캐너를 가장 신뢰하여 사용중이다