자동화공격(Automated Attacks)

1

로그인 실패 일정 횟수 초과 시 반복적인 요청에 대한 통제가 미흡한지 확인

1

본인인증(계좌 인증, SMS 인증 등)을 반복적으로 시도하여 반복적인 요청에 대한 통제가 미흡한지 확인

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40

@Service
public class LoginService {
    private static final int MAX_ATTEMPTS = 5;
    private static final long LOCK_TIME_MINUTES = 30;

    @PostMapping("/login")
    public ResponseEntity<?> login(@RequestParam String username,
                                  @RequestParam String password,
                                  HttpServletRequest request) {
        String ip = getClientIP(request);

        // 잠긴 계정 확인
        if (isAccountLocked(username)) {
            return ResponseEntity.status(403)
                .body("계정이 잠겼습니다. 30분 후 다시 시도해주세요.");
        }

        // IP별 실패 횟수 확인
        int attempts = getFailedAttempts(ip);
        if (attempts >= MAX_ATTEMPTS) {
            return ResponseEntity.status(429)
                .body("너무 많은 로그인 시도로 일시적으로 차단되었습니다.");
        }

        // 인증 시도
        User user = authenticate(username, password);

        if (user == null) {
            // 실패 횟수 증가
            incrementFailedAttempts(ip, username);
            return ResponseEntity.status(401)
                .body("아이디 또는 비밀번호가 일치하지 않습니다.");
        }

        // 성공 시 실패 횟수 초기화
        resetFailedAttempts(ip, username);

        return ResponseEntity.ok("로그인 성공");
    }
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

// 재시도 횟수 초과 시 CAPTCHA 표시
@GetMapping("/login")
public String loginForm(@RequestParam(required = false) Integer attempts,
                         Model model) {
    if (attempts != null && attempts >= 3) {
        model.addAttribute("showCaptcha", true);
    }
    return "login";
}

// CAPTCHA 검증
@PostMapping("/login")
public String login(@RequestParam String username,
                    @RequestParam String password,
                    @RequestParam String captcha,
                    HttpServletRequest request) {

    // CAPTCHA 검증
    if (!captchaService.verify(captcha)) {
        return "redirect:/login?error=captcha";
    }

    // 로그인 처리
    // ...
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21

@Configuration
public class RateLimitConfig {
    @Bean
    public RateLimiter rateLimiter() {
        // 1분에 10회 요청 허용
        return RateLimiter.create(10.0, 1, TimeUnit.MINUTES);
    }
}

@GetMapping("/api/sms")
public ResponseEntity<?> sendSms(@RequestParam String phone) {
    // Rate Limiting 확인
    if (!rateLimiter.tryAcquire()) {
        return ResponseEntity.status(429)
            .body("너무 자주 요청하셨습니다. 잠시 후 다시 시도해주세요.");
    }

    // SMS 발송 처리
    smsService.send(phone);
    return ResponseEntity.ok("인증번호가 발송되었습니다.");
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30

@Component
public class IpFilter implements Filter {
    private static final int MAX_REQUESTS_PER_MINUTE = 60;
    private final Map<String, Queue<Long>> ipRequests = new ConcurrentHashMap<>();

    @Override
    public void doFilter(ServletRequest request, ServletResponse response,
                        FilterChain chain) throws IOException, ServletException {
        HttpServletRequest req = (HttpServletRequest) request;
        String ip = getClientIP(req);

        long currentTime = System.currentTimeMillis();
        Queue<Long> timestamps = ipRequests.computeIfAbsent(
            ip, k -> new LinkedList<>()
        );

        // 1분 이전 요청 제거
        timestamps.removeIf(time -> currentTime - time > 60000);

        // 1분 요청 횟수 확인
        if (timestamps.size() >= MAX_REQUESTS_PER_MINUTE) {
            ((HttpServletResponse) response).sendError(429, "Too Many Requests");
            return;
        }

        timestamps.add(currentTime);

        chain.doFilter(request, response);
    }
}

1
2
3
4
5
6
7
8

# ModSecurity WAF 예시
SecRule IP:@ipMatch "192.168.1.100" \
    "id:1000,phase:1,t:none,deny,status:403,msg:'Blocked IP'"

# Rate Limiting
SecAction "id:1001,phase:1,t:none,nolog,pass,initcol:ip=GLOBAL"
SecRule IP:@eq "%{GLOBAL.ip}" \
    "id:1002,phase:1,t:none,deny,status:429,msg:'Rate limit exceeded'"