Intro
*해당 내용은 웹 취약점 분석 및 점검 방법입니다.
*반드시 연습용으로 제공된 환경에서만 작업하는 것을 권고 드리며, 악용으로 일어난 사태에 대해서는 절대로 책임지지 않습니다.
버퍼 오버플로(buffer overflow)란?
버퍼 오버플로(buffer overflow) 또는 버퍼 오버런(buffer overrun)은 메모리를 다루는 데에 오류가 발생하여, 잘못된 동작을 하는 프로그램 취약점이며, 컴퓨터 보안과 프로그래밍에서는 프로세스가 데이터를 버퍼에 저장할 때 프로그래머가 지정한 곳 바깥에 저장하는 것을 의미합니다.
예를 들어, 퍼버란 물컵이 있고 물이 데이터라 하였을 때, 컵의 공간에 맞지않는 물이 넘친다면 오류가 발생하게 됩니다. 벗어난 데이터는 인접 메모리를 덮어 쓰게 되며 이때 다른 데이터가 포함되어 있을 수도 있는데, 손상을 받을 수 있는 데이터는 프로그램 변수와 프로그램 흐름 제어 데이터도 포함됩니다.
이로 인해 잘못된 프로그램 거동이 나타날 수 있으며, 메모리 접근 오류, 잘못된 결과, 프로그램 종료, 또는 시스템 보안 누설이 발생할 수 있습니다.
취약점 점검
취약점 개요
| 점검내용 | - 파라미터 입력 값에 대한 적절성 점검 여부 진단 |
| 점검목적 | - 어플리케이션에서 파라미터 입력 값에 대한 적절성을 점검하여 비정상적 오류 발생을 차단하기 위함 |
| 보안위협 | - 어플리케이션 입력 값의 크기에 대한 적절성이 검증되지 않을 경우 개발 시에 할당된 저장 공간보다 더 큰 값의 입력이 가능하고 이로 인한 오류 발생으로 의도되지 않은 정보 노출, 프로그램에 대한 비 인가된 접근 및 사용 등이 발생할 수 있음. |
점검 대상 및 판단기준
| 대상 | - 소스코드 |
| 판단기준 | 양호 : 파라미터 입력 값에 대량의 인수 값 전달 시 에러 페이지나 오류가 발생되지 않는 경우 |
| 취약 : 파라미터 입력 값에 대한 검증이 이루어지지 않고 에러 페이지나 오류가 발 생하는 경우 | |
| 조치방법 | - 외부 파라미터 입력 값을 할당하여 사용하는 경우 변수에 입력된 입력 값 범위를 검사하여 외부 파라미터 입력 값이 허용 범위를 벗어나는 경우 에러 페이지가 반환 되지 않도록 조치 |
점검 및 조치 사례
1. 로그인 창에 많은 인수 값 전달 시 에러 페이지나 오류가 발생하는지 점검합니다.
2. 회원정보 변경 창에 많은 인수 값 전달 시 에러 페이지나 오류가 발생하는지 점검합니다.
3. 사이트 검색란에 많은 인수 값 전달 시 에러 페이지나 오류가 발생하는지 점검
4. 게시물 작성 시 허용된 문자보다 많은 인수 값을 입력하여 에러 페이지나 오류가 발생하는지 점검
5. 웹 어플리케이션에 많은 인수 값 전달 시 에러 페이지나 오류가 발생하는지 점검
점검에 대한 보안 설정방법
1. 웹 서버, WAS 서버 애플리케이션 버전을 안정성이 검증된 최신 버전으로 패치
2. 웹 애플리케이션에 전달되는 인수 값을 필요한 크기만큼만 받을 수 있도록 변경하고 범위 를 벗어난 인수 값이 전달될 경우 에러 페이지를 반환하지 않도록 설정
3. 동적 메모리 할당을 위해 크기를 사용하는 경우 그 값이 음수가 아닌지 검사하여 버퍼 오버플로우를 예방하는 형태로 소스 코드 변경
4. 버퍼 오버플로우를 점검하는 웹 스캐닝 툴을 이용하여 주기적으로 점검
참고 사항
위키백과, 우리 모두의 백과사전
위키백과, 우리 모두의 백과사전. 둘러보기로 가기 검색하러 가기 위키백과 우리 모두가 만들어가는 자유 백과사전문서 504,523개와 2,496명의 최근 기여자 사랑방 다른 분들과 의견을 교환해봐요!
ko.wikipedia.org
Computer Science, FSU
Jun 7, 2020 Mustakimur R. Khandaker, a recent Ph.D. graduate advised by Dr. Zhi Wang, will join the Department of Computer Science at the University of Georgia as a Tenure-track Assistant Professor. Mustakimur’s research focuses on system and software se
www.cs.fsu.edu
한국인터넷진흥원(KISA)
한국인터넷진흥원 기관 소개, 인터넷 산업경쟁력 강화, 개인정보보호, 정보보호 산업 지원, 사이버침해 대응, 관련 규정 제공
www.kisa.or.kr
