자가진단 사이트 분석 [3] _ PoC 코드 작성 완료 (비밀번호 없이 설문 가능)

자가진단 웹 페이지 네트워크 요청 단계

1번 과정에서 Authorization 헤더에 사용되는 JWT를 받게 되고,  그 토큰을 가지고 2, 3번 과정을 통해서 비밀번호 검증을 합니다.

 

그런데, 비밀번호(2,3) 과정을 생략하여도 4,5,6번 과정으로 진행할 수 있었습니다.

 

JWT에다가 비번 확인했는지라도 박아놓던가..

 

실제로 위 스크립트를 가지고, 1번 과정을 통해서 JWT를 받아서 6번, 설문을 제출할 수 있습니다.

결국, 부실하게 구축한 것이나 마찬가지 입니다.