관리자페이지노출(Exposed Admin Page)

1

유추하기 쉬운 URL, 포트 등 접속을 시도하여 관리자 페이지가 노출되는지 확인

1
2
3
4

/admin, /administrator, /manager, /root
/admin.php, /admin.jsp, /admin.asp
/wp-admin, /typo3, /administrator
/backend, /controlpanel

1

추측하기 쉬운 관리자 계정(admin, adm, administrator, manager 등) 및 비밀번호를 입력하여 로그인 가능한지 확인

1
2
3
4
5
6
7
8
9

// 쉽게 유추할 수 없는 URL 사용
// 변경 전: /admin
// 변경 후: /Xy9kL2mN8pQ4

@Controller
@RequestMapping("/Xy9kL2mN8pQ4")  // 랜덤한 경로
public class AdminController {
    // ...
}

1
2
3
4
5
6

<Directory "/var/www/html/admin">
    Order Deny,Allow
    Deny from all
    Allow from 192.168.1.100  # 허용된 IP
    Allow from 203.0.113.0/24  # 허용된 대역
</Directory>

1
2
3
4
5

location /admin/ {
    allow 192.168.1.100;
    allow 203.0.113.0/24;
    deny all;
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

@Configuration
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/Xy9kL2mN8pQ4/**")
                    .hasIpAddress("192.168.1.100")
            );
        return http.build();
    }
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21

// 관리자 로그인 시 OTP 인증
@PostMapping("/admin/login")
public String adminLogin(@RequestParam String username,
                         @RequestParam String password,
                         @RequestParam String otpCode,
                         HttpSession session) {
    // 1단계: 일반 로그인
    User user = userService.authenticate(username, password);

    if (!user.hasRole("ADMIN")) {
        return "redirect:/login?error=unauthorized";
    }

    // 2단계: OTP 인증
    if (!otpService.verify(user.getOtpSecret(), otpCode)) {
        return "redirect:/admin/login?error=invalid_otp";
    }

    session.setAttribute("admin", user);
    return "redirect:/admin/dashboard";
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20

// 모든 관리자 페이지에서 세션 검증
@Controller
@RequestMapping("/Xy9kL2mN8pQ4")
public class AdminController {

    @BeforeAdvice
    public void checkAdminSession(HttpSession session) {
        User admin = (User) session.getAttribute("admin");

        if (admin == null || !admin.hasRole("ADMIN")) {
            throw new UnauthorizedException("관리자 권한이 필요합니다.");
        }
    }

    @GetMapping("/user/list")
    public String listUsers() {
        // 세션 검증 완료 후 실행
        return "admin/user/list";
    }
}

1
2
3
4
5
6
7
8
9

-- 관리자 계정 비밀번호 강력한 것으로 변경
UPDATE users
SET password = '$2a$12$LQv3c1yqBWVHxkd0LHAkCOYz6TtxMQJqhN8/LewdBPj9SjKEq1.9i'  -- bcrypt 해시
WHERE username = 'admin';

-- 또는 관리자 계정명 변경
UPDATE users
SET username = 'superuser_' || SUBSTRING(MD5(RANDOM()::text), 1, 8)
WHERE role = 'admin';