정보보호 한잔

1. 개요 사용자 브라우저에 검증되지 않은 외부 입력값을 허용하여 악의적인 스크립트가 실행 가능한 보안약점2. 보안대책 - 문자열 치환 함수 사용: 문자열 치환 함수를 사용하여 & " ' /( ) 등을 & < > " ' / ( )로 치환- 알려진 보안 라이브러리 사용: JSTL 또는 잘 알려진 크로스 사이트 스크립트 방지 라이브러리(Lucy-XSS-Filter, OWASP ESAPI) 사용- 정규식 사용: 입력값에 대해 정규식을 이용하여 정확하게 허용되는 패턴의 데이터만 입력되도록 한다.- XSS 필터 사용: 서버로 들어오는 모든 요청에 대해 XSS 필터를 적용하여 안전한 값만 전달되어 사용되도록 한다.- 출력값 인코딩, XSS필터 적용: 출력값에..

1. 개요시스템 자원 접근경로나 자원제어 명령어에 검증되지 않은 외부 입력값을 허용하여 시스템 자원에 무단 접근 및 악의적인 행위가 가능한 보안약점 - 진단방법(경로조작)파일객체를 사용하는지 확인하고, 파일에 대한 접근이 외부에서 직접 접근하는지 확인한다. 외부 입력 값이 경로 순회 문자열에 대한 제거없이 사용되면 경로의 변경이 가능하게 되어 취약하다.- 진단방법(자원삽입)파일명, 소켓 포트 등과 같이 자원을 사용하는지 확인하고, 자원에 대한 외부 직접 접근 여부를 확인한다.2. 보안대책- 유효성 검사: 외부입력값을 자원의 식별자로 사용하는 경우, 철저히 검증을 수행한 후 사용한다. - 화이트리스트: 사용자별 사용 가능한 자원을 사전에 리스트로 정의하여 사용 범위를 제한한다. - 위험문자 필터: 파일을 ..

1. 개요프로세스가 외부 입력 값을 코드(명령어)로 해석·실행할 수 있고 프로세스에 검증되지 않은 외부 입력 값을 허용한 경우 공격자에 의해 악의적인 코드가 실행 가능한 보안약점 2. 보안대책 - 취약한 함수 사용 지양: 동적코드를 실행할 수 있는 함수를 사용하지 않는다. - 화이트리스트: 실행 가능한 동적코드를 입력 값으로 받지 않도록, 외부 입력 값에 대하여 화이트리스트 방식으로 구현한다.- 유효성 검사: 유효한 문자만 포함하도록 동적 코드에 사용되는 사용자 입력 값을 필터링한다. 3. 코드예제※ 아래 예제들은 KISA의 소프트웨어 개발보안 가이드, SW 보안약점 진단가이드의 예제를 옮겨놓았습니다. [안전하지 않은 코드 - JAVA]//취약예시1public class CodeInjectionContr..