아빠의 IT 이야기

안드로이드 앱 취약점 진단(feat. 안드로이드 소개, 설치방법 및 진단 환경 구성)

아빠아이티 — Sat, 13 Aug 2022 16:36:57 +0900

안드로이드란?(Android)

■ 안드로이드란

Android는 주로 스마트폰 및 태블릿과 같은 터치스크린 모바일 장치용으로 설계된 Linux 커널 및 기타 오픈 소스 소프트웨어의 수정된 버전을 기반으로 하는 모바일 운영체제이며, Open Handset Alliance로 알려진 개발자 컨소시엄에서 개발하고 구글에서 상업적으로 후원중. 안드로이드 기기의 아키텍처, 애플리케이션이 어떻게 컴파일되는지, 가장 중요한 것은 안드로이드 애플리케이션의 구성을 이해하는 것

■ 안드로이드의 구성

하드웨어
Android의 주요 하드웨어 플랫폼은 이후 릴리스에서도 지원되는 x86 및 x86-64 아키텍처가 있는 ARM Android 5.0 Lollipop부터 32비트 변형 외에도 모든 플랫폼의 64비트 변형이 지원됨

커널
Android 커널은 Linux 커널의 LTS 분기를 기반으로 사용

파일 시스템
Android 출시 이후로 YAFFS2를 사용 중이나, Android 2.3 이후에는 EXT4 파일 시스템을 사용.

안드로이드 파일 시스템은 파일 브라우저를 통해 탐색이 가능하며, 공장 초기화를 누르면 지워짐.

다음 디렉토리는 모든 Android에 기본적으로 있음
- 부팅: 파티션에는 전원이 켜질 때 전화가 부팅되는 데 필요한 커널, 램디스크 등이 포함
- 시스템: Android UI 및 사전 설치된 앱을 포함하는 OS 파일 포함
- 복구: OS로 부팅하는 대체 옵션으로 파티션을 복구하고 백업할 수 있음
- 데이터: 사용자 데이터, 앱 데이터, 메시징, 음악 등을 저장

하위 폴더는 아래로 구성되어 있음
- Android: 앱 캐시 및 저장된 데이터의 기본값
- 알람: 알람에 대한 사용자 지정 오디오 파일
- Cardboard: VR 파일에 대한 데이터를 포함
- DCIM: 카메라 앱으로 찍은 사진과 비디오를 저장
- 다운로드: 인터넷에서 다운로드한 파일을 저장
- 알림: 일부 앱의 알림에 대한 사용자 지정 톤
- 음악, 영화: 타사 앱의 노래와 비디오를 저장하는 기본 폴더
- 사진: 타사 앱에서 찍은 사진을 저장하는 기본 폴더
- 캐시: 자주 사용하는 데이터 및 앱 구성 요소의 저장

안드로이드 아키텍쳐
- 커널

커널은 사용자가 하드웨어와 통신할 수 있는 인터페이스를 제공하는 Android OS의 가장 중요한 부분. 하드웨어 구성 요소가 특정 기능을 지시하기 위해 프로그램에서 사용하는 필수 드라이버가 포함되어 있음. 오디오, 디스플레이, 블루투스 등이 해당됨

- 하드웨어 추상화 계층 (Hard Abstraction Layer)
컴퓨터의 물리적인 하드웨어와 소프트웨어 사이의 추상화 계층 역할을 하는 논리적 코드 분할
프로그램이 하드웨어와 통신할 수 있는 장치 드라이버 인터페이스를 제공

- 라이브러리
어플리케이션, 리소스 파일 및 매니페스트 개발을 위한 개발자 지원을 제공
네이티브 라이브러리는 네이티브 코드에서 작업을 효과적으로 수행하기 위해 필요함

- 안드로이드 런타임 (Android Run Time)
안드로이드 OS에서 사용하는 애플리케이션 런타임 환경
프로그램이 프로세서에 명령을 보내고 컴퓨터의 RAM에 액세스할 수 있는 상태
자바로 프로그래밍된 안드로이드앱은 컴파일 중에 APK 및 실행 런타임으로 패키징되는 동안 먼저 바이트 코드로 변환됨

안드로이드는 가상 머신을 사용해 모든 응용 프로그램을 실행하여 OS에서 프로그램 실행을 격리하고 영향을 받는 시스템을 악성 코드로부터 보호함

Android 4.4 이전에는 DVM(Dalvik Virtual Machine) 이었다가 이후 ART로 대체됨

DVM은 JIT(Just in time) 컴파일을 사용하여 어플리케이션 코드를 가져와 분석하고 런타임으로 컴파일함
ART는 .dex파일이 필요하기도 전에 컴파일을 하는 AOT(ahead of time) 컴파일을 사용

인시큐어뱅크 소개

■ 인시큐어뱅크란?

인시큐어뱅크 버전2(insecurebankv2)

모바일 뱅킹 취약점 진단을 위해 테스트 용도로 제작된 어플리케이션. 백엔드 서버는 파이썬으로 제작되었으며, 깃허브에서 다운로드 가능

https://github.com/dineshshetty/Android-InsecureBankv2

GitHub - dineshshetty/Android-InsecureBankv2: Vulnerable Android application for developers and security enthusiasts to learn ab

Vulnerable Android application for developers and security enthusiasts to learn about Android insecurities - GitHub - dineshshetty/Android-InsecureBankv2: Vulnerable Android application for develop...

github.com

금융권 앱을 모델로 하고 있어, 모바일 취약점 진단 입문자(안드로이드 앱 취약점 분석)가 취약점 진단을 학습하기 좋은 앱

각 파일들에 대한 간략한 설명을 하자면 이렇다.

AndroLabServer : 인시큐어뱅크 백엔드 서버

InsecureBankv2 : 인시큐어뱅크 안드로이드 어플리케이션 소스

InsecureBankv2.apk : 인시큐어뱅크 안드로이드 어플리케이션

Usage Guide.pdf : 유저 가이드

환경 구성 및 설정(JDK, 안드로이드 스튜디오, 파이썬)

■ JDK, 안드로이드 스튜디오, 파이썬 설치

소스코드를 이용하기 위하여, 안드로이드 어플리케이션 개발 환경 구성

- JDK(64bit) 설치하기

https://www.oracle.com/java/technologies/javase/javase7-archive-downloads.html

1. 설치 시, 모두 디폴트 값(설치 경로 등)으로 진행

2. [윈도우 키] - [고급 시스템 설정 보기] - [고급 탭] - [환경변수]

3. [시스템 변수] - [새로만들기] - jdk 설치 경로 입력 후 "확인"

4. [시스템 변수] - [path 변수] 클릭 후, %JAVA_HOME%\bin; 입력 후 cmd에서 "java -version"으로 설정 확인

- 안드로이드 스튜디오 설치하기

https://developer.android.com/studio?hl=ko

Download Android Studio and SDK tools | Android Developers

The official IDE for Android app developers.

developer.android.com

1. 설치 시, 모두 디폴트 값(설치 경로 등)으로 진행

2. 스튜디오 설치 완료 후, [setup wizard] - sdk license 모두 Accept, [Finish] 버튼 클릭 후, 설치 진행(※중요!)

3. [More Actions] - [SDK Manager] 클릭

4. Status에서 설치 유무를 확인 가능하며, 테스트 할 안드로이드 버전을 선택 후 [Apply] 클릭 후 설치

5. [More Actions] - [Virtual Device Manager] 클릭

6. 좌측 상단 [Create device] 클릭 - 카테고리(Phone) [Nexus 5] 클릭 후 이미지 다운로드

7. AVD Name 변경 후 설정 완료(설정이 잘못되거나, 정상적으로 실행 안된다면, 옵션 변경 필요)

8. Actions 에서 재생 버튼을 누르면 디바이스 실행 가능

9. ADB(Android Debug Bridge) 환경 변수 설정

- ADB는 안드로이드 개발용으로 만들어진 디버그 테스팅 도구이기에, 개발과 취약점 진단에 반드시 필요

기본 설치 경로 : C:\Users\사용자\AppData\Local\Android\Sdk\platform-tools

[윈도우 키] - [고급 시스템 설정 보기] - [고급 탭] - [환경변수] - [시스템 변수] - [path 변수] 클릭 후, 위의 설치 경로 입력 후 cmd에서 결과 확인(커맨드라인에 "adb version" 입력)

- 파이썬(python) 설치하기

https://www.python.org/downloads/release/python-2717/

Python Release Python 2.7.17

The official home of the Python Programming Language

www.python.org

※주의사항

파이썬 구버전이나, 위에 있는 버전으로 진행해야 오류 없이 빠르게 진행 가능함!

디폴트로 설치 진행했다면, 파이썬 설치 기본경로는 "C:\Python27"

1. 파이썬을 위에 있는 버전으로 설치 후, 서버 구동을 위한 라이브러리를 설치함(목록은 하기와 같음)

- simplejson

- flask

- sqlalchemy

- cherrypy

- web.py

2. 위에 있는 라이브러리를 설치하기 위해 easy_install을 이용해야하는데, easy_install은 "C:\Python27\Scripts" 해당 경로에 존재함.

▲위 명령어 입력하여 설치 진행

▲정상적으로 설치되면 다음과 같은 메시지 출력

※easy_install 명령어를 이용하여 설치 불가 및 에러 발생 시, 다음과 같은 방법 사용

1) 환경변수 설정

[윈도우 키] - [고급 시스템 설정 보기] - [고급 탭] - [환경변수] - [시스템 변수] - [path 변수] 클릭 후, C:\Python27\Scripts\ 추가

2) 관리자 권한으로 명령 프롬프트(CMD) 실행 후, pip install --uprade pip 입력

3) 아래 명령어 차례대로 입력

- pip install flask

- pip install sqlalchemy

- pip install simplejson

- pip install cherrypy

- pip install web.py

(아래 화면은 명령어 입력 시, 정상 설치 예시 화면)

3. 다운로드 받은 인시큐어뱅크 서버 설치 경로에 AndroLabServer 디렉터리에서 app.py 실행

▲ 서버 정상 작동 시, 위와 같은 문구 출력

인시큐어뱅크 어플리케이션 설치

■ 어플리케이션 설치

안드로이드 스튜디오에서 가상 장치 설정과 인큐어뱅크 백엔드 서버를 정상적으로 구동시켰으므로, 가상장치에 어플리케이션 설치 진행(인시큐어뱅크 어플리케이션은 다운받은 폴더 내에 포함되어 있음)

1. 인시큐어뱅크 폴더로 이동 후, 명령어 입력 adb install InsecureBankv2.apk

2. 안드로이드 가상 장치(AVD) 앱 메뉴에서 설치된 인시큐어뱅크 어플 확인

AVD 내 어플 설치 완료

인시큐어뱅크 실행 화면

3. 서버 IP 주소(Server IP)는 우측 메뉴 "Preferences" 에서 확인 및 변경 가능. 위의 과정대로 설치했다면 기본 포트 번호는 8888로 설정되어 있음. "Submit" 버튼 클릭

4. 인시큐어뱅크 계정 정보(ID : dinesh, PW : Dinesh@123$ / ID : jack, PW : Jack@123$)로 로그인

또는, "Autofill Credentials" 버튼을 클릭하면 자동으로 계정 정보가 입력됨.

이것으로 인시큐어뱅크 설치 과정을 마친다.

안드로이드 모바일 어플리케이션 디컴파일(간단한 툴 사용법)

아빠아이티 — Fri, 12 Aug 2022 02:42:00 +0900

모바일 어플리케이션 디컴파일하기

■ 디컴파일 개요

Android Manifest
앱에 필수로 들어가야되며, 앱에 대한 필수적인 정보를 담고 있음. 특히, 앱의 패키지 이름과 사용되는 컴포넌트 및 권한 등이 전부 담겨 있음

DEX
안드로이드 환경에서의 실행 파일
Java 코드로 작성된 컴파일된 class 파일을 DX 도구를 사용해 변환시킨 파일
- Java 바이트 코드가 달빅 다이트 코드로 변환
달빅 가상머신에서 구동
- 실행되는 앱마다 가상머신을 생성해 구동시킴

SMALI
DEX 바이너리를 사람이 읽을 수 있도록 표현. DEX를 디코딩 작업으로 추출할 수 있음.
Smali 파일의 코드를 분석해 프로그램의 실행 원리 파악 가능
Smali 코드를 읽고, 수정 후 재컴파일해서 프로그램 수정 가능

(조작하면 동적제어가 가능함)

apk 디컴파일 툴(apktool, dex2jar, jd-gui, BytecodeViewer)

■ 안드로이드 어플리케이션 디컴파일하기

소스코드를 가지고 있지 않은 상태에서는 디컴파일을 통해 어플리케이션을 분석해야함

어플리케이션 변조 과정

- APK 획득 -> 디컴파일 -> 코드변조 -> 컴파일 -> 사이닝

■ apktool 사용법

apk 파일로 압축되어 있는 resource.arsc, classes.dex XML 파일들을 디버깅 형태로 변환시켜주는 도구

https://ibotpeaches.github.io/Apktool/install/

Apktool - How to Install

Install Instructions Quick Check Is at least Java 1.8 installed? Does executing java -version on command line / command prompt return 1.8 or greater? If not, please install Java 8+ and make it the default. (Java 7 will also work at this time) Windows: Down

ibotpeaches.github.io

설치 파일 및 설치법은 위 주소로 접속하여 확인 가능

옵션은 d 를 사용하여 디컴파일 명령어(apktool d 파일경로) 입력

C:\Users\CDM\app-release 폴더에서 결과값 아래와 같이 확인

※smali 파일은 조작하면 동작제어 가능

■ dex2jar 사용법

apk 파일이나 apk 파일에 포함된 classes.dex 파일을 자바 클래스 파일로 변환시켜주는 도구

https://sourceforge.net/projects/dex2jar/

dex2jar

Download dex2jar for free. Tools to work with android .dex and java .class files. Mirrors: * https://bitbucket.org/pxb1988/dex2jar * https://github.com/pxb1988/dex2jar dex2jar contains following compment * dex-reader is designed to read the Dalvik Executab

sourceforge.net

dex2jar를 이용할 땐, 디컴파일할 파일을 다운로드 받은 dex2jar 폴더 내로 이동시켜주어야 함

실행파일을 .jar 확장자를 가진 파일로 변환 및 파일 생성 확인

(명령어 : d2j-dex2jar.bat InsecureBankv2.apk)

■ jd-gui 사용법

jar 파일을 사용자가 읽을 수 있는 형태로 디컴파일하기 위하여 사용하며, dex2jar을 이용하여 생성된 jar 파일을 불러오면 자동으로 디컴파일 함

http://java-decompiler.github.io/

Java Decompiler

The “Java Decompiler project” aims to develop tools in order to decompile and analyze Java 5 “byte code” and the later versions. JD-GUI is a standalone graphical utility that displays Java source codes of “.class” files. You can browse the reco

java-decompiler.github.io

윈도우 버전의 압축파일을 다운로드 받은 후, 압축해제

dex2jar을 이용하여 생성된 jar 파일을 jd-gui로 불러오면 자동으로 디컴파일 및 결과 확인 가능

BytecodeViewer 사용법

BytecodeViewer는 안드로이드 뿐만 아니라, 자바, DEX, jars 파일 등과 같은 소스코드 리버싱 분석 도구. 윈도우 환경에서도 완벽하게 동작하며, 안드로이드 APK 파일을 디컴파일하여 바이트코드 형태와 클래스 파일을 자바 파일로 변환한 후 소스파일로 복원하여 함께 보여줌. 앞서 소개한 도구들의 기능을 모두 합한 것과 같아서 효율적인 도구이며, 분석 속도가 매우 빠름.

https://github.com/Konloch/bytecode-viewer/releases

Releases · Konloch/bytecode-viewer

A Java 8+ Jar & Android APK Reverse Engineering Suite (Decompiler, Editor, Debugger & More) - Konloch/bytecode-viewer

github.com

jar 파일을 다운로드 후, 설치경로에서 명령어(java -jar Bytecode-Viewer-2.11..0 jar) 입력하면 bytecodeviewer가 실행됨

분석하고자 하는 파일을 드래그 시키거나, 오픈하면 아래와 같이 결과가 출력(좌측 - 소스코드, 우측 - 바이트코드)되는데 해석된 2개의 코드를 동시에 볼 수 있다는 점에서 매력적이며, 다양한 플러그인을 활용하여 분석이 가능

[시큐어코딩 가이드] 취약한 암호화 알고리즘 사용

아빠아이티 — Wed, 10 Aug 2022 23:23:14 +0900

■ 보안기능

보안기능(인증, 접근제어, 기밀성, 암호화, 권한관리 등)을 부적절하게 구현 시 발생할 수 있는 보안약점으로 적절한 인증 없는 중요기능 허용, 부적절한 인가 등이 포함된다.

취약한 암호화 알고리즘 사용

■ 개요

SW 개발자들은 환경설정 파일에 저장된 패스워드를 보호하기 위하여 간단한 인코딩 함수를 이용 하여 패스워드를 감추는 방법을 사용하기도 한다. 그렇지만 base64와 같은 지나치게 간단한 인코딩 함수로는 패스워드를 제대로 보호할 수 없다.

정보보호 측면에서 취약하거나 위험한 암호화 알고리즘을 사용해서는 안 된다. 표준화되지 않은 암호화 알고리즘을 사용하는 것은 공격자가 알고리즘을 분석하여 무력화시킬 수 있는 가능성을 높일 수도 있다. 몇몇 오래된 암호화 알고리즘의 경우는 컴퓨터의 성능이 향상됨에 따라 취약해지기도 해서, 예전에는 해독하는데 몇 십 억년이 걸릴 것이라고 예상되던 알고리즘이 며칠이나 몇 시간 내에 해독되기도 한다.

RC2 (ARC2), RC4 (ARC4), RC5, RC6, MD4, MD5, SHA1, DES 알고리즘이 여기에 해당된다.

Python 2에서는 PyCrypto를 사용하였지만 Python 3에서는 PyCryto를 개선한 PyCryptodomes를 사용하여야 한다.

■ 안전한 코딩 기법

자신만의 암호화 알고리즘을 개발하는 것은 위험하며, 학계 및 업계에서 이미 검증된 표준화된 알고리즘을 사용한다. 기존에 취약하다고 알려진 DES, RC5등의 암호알고리즘을 대신하여, 3DES, AES, SEED 등의 안전한 암호 알고리즘으로 대체하여 사용한다. 또한, 업무관련 내용, 개인정보 등에 대한 암호 알고리즘 적용 시, 암호모듈시험기에서 안전성을 확인한 검증필 암호모듈을 사용해야 한다.

코드예제

다음 예제는 취약한 DES 알고리즘으로 암호화하고 있다. DES 이외에 3DES, Blowfish, ARC2, ARC4 등의 취약한 알고리즘을 사용하지 않는다.

안전하지 않은 코드의 예

import base64
from Crypto.Cipher import DES

def get_enc_text(plain_text, key):
# 취약함 암호와 알고리즘인 DES를 사용하여 안전하지 않음
cipher_des = DES.new(key, DES.MODE_ECB)
encrypted_data = base64.b64encode(cipher_des.encrypt(plain_text))

return encrypted_data.decode('ASCII')

pycrypto 라이브러리는 python 3.x버전 환경에서 사용 시 동작을 하지 않는 경우가 발생하며, 더 이상 유지관리 되지 않으므로 pycrypto를 개선한 pycryptodome를 사용한다. 취약한 DES 알고리즘 대신 안전한 AES 암호화 알고리즘을 사용한다.

블록 암호화에서 운영모드를 ECB(Electronic Code Block) 모드를 사용할 경우 한 개의 블록만 해독되면 나머지 블록도 해독이 되는 단점이 있다. CBC(Cipher Block Chaining) 모드는 평문의 각 블록이 XOR연산을 통해 이전 암호문과 연산이 되기 때문에 같은 평문이라도 암호문이 서로 다르다.

이러한 특성으로 보안성이 ECB 모드보다 높다.

안전한 코드의 예

import base64
from Crypto.Cipher import AES

def get_enc_text(plain_text, key, iv):
# 안전한 알고리즘인 AES 를 사용하여 안전함.
cipher_aes = AES.new(key, AES.MODE_CBC, iv)
encrypted_data = base64.b64encode(cipher_aes.encrypt(plain_text))

return encrypted_data.decode('ASCII')

다음 예제는 취약한 MD5 해쉬함수를 사용하고 있다.

안전하지 않은 코드의 예

fimport hashlib

def make_md5(plain_text):
# 취약한 md5 해쉬함수 사용
hash_text = hashlib.md5(plain_text.encode('utf-8')).hexdigest()

return hash_text

아래 코드처럼 안전하다고 알려진 sha-256 해쉬함수 등을 적용해야 한다.

안전한 코드의 예

import hashlib

def make_sha256(plain_text):
# 안전한 sha-256 해쉬함수 사용
hash_text = hashlib.sha256(plain_text.encode('utf-8')).hexdigest()

return hash_text

[시큐어코딩 가이드] 중요한 자원에 대한 잘못된 권한 설정

아빠아이티 — Wed, 10 Aug 2022 22:21:44 +0900

■ 보안기능

중요한 자원에 대한 잘못된 권한 설정(시큐어코딩 가이드)

■ 개요

응용프로그램이 중요한 보안관련 자원에 대하여 읽기 또는 수정하기 권한을 의도하지 않게 허가할 경우, 권한을 갖지 않은 사용자가 해당 자원을 사용하게 된다.

Python의 os.fchmod, os.chmod 등의 함수를 사용하여 파일 생성 및 읽기 모드에서 권한을 설정 할 수 있다.

■ 안전한 코딩 기법

설정파일, 실행파일, 라이브러리 등은 SW 관리자에 의해서만 읽고 쓰기가 가능하도록 설정하고 설정 파일과 같이 중요한 자원을 사용하는 경우, 허가 받지 않은 사용자가 중요한 자원에 접근 가능 한지 검사한다.

코드예제

다음 예제는 /root/system_config 파일에 대해서 모든 사용자가 읽기, 쓰기, 실행 권한을 가지게 된다.

안전하지 않은 코드의 예

def write_file():
#모든 사용자가 읽기, 쓰기, 실행 권한을 가지게 됨.
os.chmod('/root/system_config', 0o777)

with open("/root/system_config", 'w') as f:
f.write("your config is broken")

파일에 대해서는 최소권한을 할당해야 한다. 즉 해당 파일의 소유자에게만 읽기 권한만 부여하고 쓰기 권한이 필요한 경우에만 쓰기 권한을 부여한다.

안전한 코드의 예

def write_file():
#소유자 외에는 아무런 권한을 주지 않음.
os.chmod('/root/system_config', 0o700)

with open("/root/system_config", ‘'w') as f:
f.write("your config is broken")

[시큐어코딩 가이드] 적절한 인증 없는 중요 기능 허용

아빠아이티 — Wed, 10 Aug 2022 22:15:34 +0900

■ 보안기능

적절한 인증 없는 중요 기능 허용(시큐어코딩)

■ 개요

파이썬의 Django 프레임워크에서 django.contrib.auth 앱을 통하여 기본적인 인증 로그인 및 로그아웃 기능을 제공하고 있으며 DRF(Django REST Framework)에서는 토큰 및 세션 인증을 제공하고 있다.

■ 안전한 코딩 기법

클라이언트의 보안검사를 우회하여 서버에 접근하지 못하도록 설계하고 중요한 정보가 있는 페이지는 재 인증을 적용한다.

또한 안전하다고 검증된 라이브러리나 프레임워크 (Django authentication system, Flask-Login 등)를 사용하는 것이 안전하다.

코드예제

패스워드 수정 시 수정을 요청한 패스워드와 DB에 저장된 사용자 패스워드 일치 여부를 확인하지 않고 처리하고 있으며 패스워드의 재확인 절차도 생략되어 있다.

안전하지 않은 코드의 예

from django.shortcuts import render
from re import escape
import hashlib

def change_password(request):
new_pwd = request.POST.get('new_password','')

#로그인한 사용자정보
user = '%s' % escape(request.session['userid'])

#현재 password와 일치여부를 확인하지 않고 수정함
sha = hashlib.sha256(new_pwd.encode())
update_password_from_db(user, sha.hexdigest())

return render(request, '/success.html')

DB에 저장된 사용자 패스워드와 변경 요청한 패스워드의 일치 여부를 확인하거나 변경 요청한 패스워드와 재확인 패스워드가 일치하는지 확인 후 DB의 패스워드를 수정하도록 하여 안전하게 적용할 수 있다.

안전한 코드의 예

from django.shortcuts import render
from re import escape
import hashlib

# login_required decorator를 사용하여 login된 사용자만 접근하도록 처리
@login_required
def change_password(request):
new_pwd = request.POST.get('new_password','')
crnt_pwd = request.POST.get('current_password','')

# 세션에서 로그인한 사용자정보를 가져온다.
user = '%s' % escape(request.session['userid'])

crnt_h = hashlib.sha256(crnt_pwd.encode())
h_pwd = crnt_h.hexdigest()

# DB에서 기존 사용자의 Hash된 패스워드 가져오기
old_pwd = get_password_from_db(user)

# 패스워드를 변경하기 전 사용자에 대해 재인증한다.
if old_pwd == h_pwd:
new_h = hashlib.sha256(new_pwd.encode())
update_password_from_db(user, new_h.hexdigest())
returnrender(request, '/success.html')

[시큐어코딩 가이드] 서버 사이드 요청 위조

아빠아이티 — Wed, 10 Aug 2022 22:08:53 +0900

■ 입력데이터 검증 및 표현

프로그램 입력 값에 대한 검증 누락 또는 부적절한 검증, 데이터의 잘못된 형식지정, 일관되지 않은 언어셋 사용 등으로 인해 발생되는 보안약점으로 SQL 삽입, 크로스사이트 스크립트(XSS) 등의 공격을 유발할 수 있다.

서버사이드 요청 위조

■ 개요

적절한 검증절차를 거치지 않은 사용자 입력값을 서버간의 요청에 사용하여 악의적 인 행위가 발생할 수 있는 보안약점이다.

외부에 노출된 웹 서버에 취약한 애플리케이션이 존재하는 경우 공격자는 URL 또는 요청문을 위조하여 접근

통제를 우회하는 방식으로 비정상적인 동작을 유도하거나 신뢰된 네트워크에 있는 데이터를 획득할 수 있다.

■ 안전한 코딩 기법

식별할 수 있는 범위 내에서 사용자의 입력 값을 다른 시스템의 서비스 호출에 사용하는 경우, 사용자의 입력 값을 화이트리스트 방식으로 필터링한다.

사용자가 지정하는 무작위의 URL을 받아들여야 한다면 내부의 URL을 블랙리스트로 지정하여 필터링 한다. 또한 동일한 내부 네트워크에 있더라도 기기 인증, 접근권한을 확인하여 요청이 이루어질 수 있도록 한다.

코드예제

■ 삽입 코드의 예

설명	삽입 코드의 예
내부망 중요 정보 획득	http://sample_site.com/connect?url=http://192.168.0.45/member/list.json
외부 접근 차단된 admin 페이지 접근	http://sample_site.com/connect?url=http://192.168.0.45/admin
도메인 체크를 우회하여 중요 정보 획득	http://sample_site.com/connect?url=http://sample_site.com:x@192.168.0.45/member/list.json
단축 URL을 이용한 Filter 우회	http://sample_site.com/connect?url=http://bit.ly/sdjk3kjhkl3
도메인을 사설IP로 설정 해 중요정보 획득	http://sample_site.com/connect?url=http://192.168.0.45/member/list.json
서버 내 파일 열람	http://sample_site.com/connect?url=file:///etc/passwd

다음 예제는 안전하지 않은 코드 예제이다. 9라인의 사용자로부터 입력된 URL 주소를 검증 없이 사용하여 의도하지 않은 다른 서버의 자원에 접근 가능하게 된다.

안전하지 않은 코드의 예

from django.shortcuts import render
import requests

def call_third_party_api(request):
addr = request.POST.get('address', '')

# 사용자가 입력한 주소를 검증하지 않고 HTTP 요청을 보내고 응답을
# 사용자에게 반환
result = requests.get(addr).text
return render(request, '/result.html', {'result':result})

안전한 코드는 다음과 같이 사전에 정의된 서버 목록을 정의하고 매칭되는 URL만 사용할 수 있으므로 URL 값을 임의로 조작할 수 없다.

안전한 코드의 예

from django.shortcuts import render
import requests

# 도메인을 화이트리스트에 정의 할 경우 DNS rebinding 공격 등에
# 노출될 위험이 있어 신뢰 할 수 있는 자원에 대한 IP를 사용하여
# 검증하는 것이 좀더 안전하다.
ALLOW_SERVER_LIST = [
'https://127.0.0.1/latest/',
'https://192.168.0.1/user_data',
'https://192.168.0.100/v1/public'
]

def call_third_party_api(request):
addr = request.POST.get('address', '')

# 사용자가 입력한 URL을 화이트리스트로 검증한 후 그 결과를 반환하여
# 검증되지 않은 주소로 요청을 보내지 않도록 제한한다.
if addr not in ALLOW_SERVER_LIST:
return render(request, '/error.html', {error = '허용되지 않은 서버입니다.'})

result = requests.get(addr).text
return render(request, '/result.html', {'result':result})

[시큐어코딩 가이드] 종료되지 않는 반복문 또는 재귀 함수

아빠아이티 — Wed, 10 Aug 2022 22:00:36 +0900

■ 시간 및 상태

동시 또는 거의 동시 수행을 지원하는 병렬 시스템이나 하나 이상의 프로세스가 동작되는 환경에서 시간 및 상태를 부적절하게 관리하여 발생할 수 있는 보안약점이다.

종료되지 않는 반복문 또는 재귀 함수(시큐어코딩)

■ 개요

재귀의 순환 횟수를 제어하지 못하여 할당된 메모리나 프로그램 스택 등의 자원을 과다하게 사용하면 위험하다. 대부분의 경우, 귀납 조건(Base Case)이 없는 재귀 함수는 무한 루프에 빠져들게 되고 자원고갈을 유발함으로써 시스템의 정상적인 서비스를 제공할 수 없게 한다.

Python에서는 최대 재귀 깊이가 적용되어 있어 무한루프가 발생하지 않으나, setrecursionlimit()를 사용하여 임의로 최대 재귀 깊이를 변경하여 사용하는 경우 과도하게 많이 재귀 함수가 수행되지 않도록 주의하여야 한다.

■ 안전한 코딩 기법

모든 재귀 호출 시, 재귀 호출 횟수를 제한하거나, 초기 값을 설정(상수)하여 재귀 호출을 제한해야 한다. Python의recursionlimit 제한은 stack overflow를 막기 위한 방법이다. recursionlimit 값을 과도하게 큰 값으로 설정하지 않아야 한다.

코드예제

factorial 함수는 함수 내부에서 자신을 호출하는 함수로, 재귀문을 빠져 나오는 조건을 정의하고 있지 않아 시스템 장애를 유발할 수 있다.

안전하지 않은 코드의 예

def factorial(num):
# 재귀함수 탈출조건을 설정하지 않아 동작 중 에러 발생
return num * factorial(num – 1)

if __name__ == '__main__':
itr = 5
result = factorial(itr)
print(str(itr) + ' 팩토리얼 값은 : ' + str(result))

무한루프를 사용하지 않고 특정 조건 또는 횟수에 따라 동작한다.

안전한 코드의 예

def factorial(num):
# 재귀함수 사용 시에는 탈출 조건을 명시해야 한다.
if (num == 0):
return 1
else:
return num * factorial(num - 1)

if __name__ == '__main__':
itr = 5
result = factorial(itr)
print(str(itr) + ' 팩토리얼 값은 : ' + str(result))

Python의 재귀 반복 제한(Recursion Depth Limit)은 기본이 1000으로 설정되어 있다.

Anaconda의 경우는 기본 값이 2000이다. 이 값을 과도하게 변경하지 않아야 한다.

안전한 코드의 예

import sys

sys.setrecursionlimit(1000)

[시큐어코딩 가이드] 크로스사이트 요청 위조(CSRF)

아빠아이티 — Wed, 10 Aug 2022 21:56:06 +0900

■ 입력데이터 검증 및 표현

크로스사이트 요청 위조(CSRF)

■ 개요

특정 웹사이트에 대해서 사용자가 인지하지 못한 상황에서 사용자의 의도와는 무관하게 공격자가 의도한 행위(수정, 삭제, 등록 등)를 요청하게 하는 공격을 말한다. 웹 응용프로그램이 사용자로부터 받은 요청에 대해서 사용자가 의도한 대로 작성되고 전송된 것인지 확인하지 않는 경우 발생 가능하고 특히 해당 사용자가 관리자인 경우 사용자 권한관리, 게시물 삭제, 사용자 등록 등 관리자 권한으로만 수행 가능한 기능을 공격자의 의도대로 실행시킬 수 있게 된다.

공격자는 사용자가 인증한 세션이 특정 동작을 수행하여도 계속 유지되어 정상적인 요청과 비정상적인 요청을 구분하지 못 하는 점을 악용한다. 파이썬에서 가장 많이 사용하고 있는 Django 프레임워크와 Flask 프레임워크에서는 각각 CSRF 토큰 기능을 지원하고 있으며, Django는 {% csrf token %} 태그를 이용하여 CSRF 토큰 기능 제공하고 Flask에서는 Flask-WTF 확장 라이브러리를 통해 {{form.csrf_token}} 태그를 이용하여 CSRF 토큰 기능을 제공하여 태그를 사용하는 경우 안전하게 사용할 수 있다.

■ 안전한 코딩 기법

해당 요청이 정상적인 사용자의 정상적인 절차에 의한 요청인지를 구분하기 위해 세션별로 CSRF토큰을 생성하여 세션에 저장하고, 사용자가 작업페이지를 요청할 때마다 hidden값으로 클라이언트에게 토큰을 전달한 뒤, 해당 클라이언트의 데이터 처리 요청 시 전달되는 CSRF토큰값을 체크하여 요청의 유효성을 검사하도록 한다.

Django 프레임워크와 Flask 프레임워크는 미들웨어와 프레임워크에서 기본적으로 CSRF Token을 사용해서 CSRF 공격으로부터 보호하는 기능을 가지고 있다. 해당 기능을 사용하기 위해 form태그 내부에 csrf_token을 사용해야 한다.

코드예제

■ Django 프레임워크 사용

Django프레임워크에서는 1.2 버전부터 CSRF 취약점을 방지기능을 기본으로 제공하고 있다. 미들웨어의 CSRF 옵션을 비활성하거나 템플릿에서 csrf_exempt decorator를 사용하는 경우, 크로스사이트 요청 위조 공격에 노출될 수 있다.

⦁Django 미들웨어 설정(settings.py) 사례

안전하지 않은 코드의 예

MIDDLEWARE = [
'django.contrib.sessions.middleware.SessionMiddleware',
# MIDDLEWARE 목록에서 csrf 항목을 삭제 또는 주석처리 하면
# Django 앱에서 csrf 유효성 검사가 전역적으로 제거 됨
# 'django.middleware.csrf.CsrfViewMiddleware',
'django.contrib.auth.middleware.AuthenticationMiddleware',
'django.contrib.messages.middleware.MessageMiddleware',
'django.middleware.locale.LocaleMiddleware',
......
]

다음은 Django의 csrf 기능을 활성화하기 위한 안전한 미들웨어 설정 예제 이다.
미들웨어의 csrf 기능을 주석, 또는 삭제 처리 하지 않아야 한다. 템플릿 페이지에는 csrf_token을 form 태그 안에 명시해야 미들웨어에서 정상적으로 csrf 기능을 사용할 수 있다.

안전한 코드의 예

MIDDLEWARE = [
'django.contrib.sessions.middleware.SessionMiddleware',
# MIDDLEWARE 목록에서 csrf 항목을 활성화 한다.
'django.middleware.csrf.CsrfViewMiddleware',
'django.contrib.auth.middleware.AuthenticationMiddleware',
'django.contrib.messages.middleware.MessageMiddleware',
'django.middleware.locale.LocaleMiddleware',
......
]

SQLite DB-API 사용에서도 동일하게 정적인 쿼리문을 사전에 생성하고 사용자 입력을 바인딩 하여 안전하게 사용하여야 한다. SQLite에서 매개변수 화된 쿼리(Parameterized Query)를 만들기 위해 “?”를 Placeholder로 사용하거나 “:name” 처럼 Named Placeholder를 사용하는 방법 2가지가 있다.

⦁Django 뷰 기능 설정(views.py) 사례

미들웨어에 csrf 검증 기능이 활성화 되어 있어도 View에서 csrf기능을 해제 하는 경우에는 해당 요청에 대해서 csrf 검증기능을 사용하지 않게 된다.

다음은 Function-Based View에서 csrf 검증 기능을 비활성화 하는 예제이다.

안전하지 않은 코드의 예

from django.shortcuts import render
from django.views.decorators.csrf import csrf_exempt

# csrf.exempt 데코레이터로 미들웨어에서 보호되는 CSRF 기능을 해제한다.
@csrf.exempt
def pay_to_point(request):
user_id = request.POST.get('user_id', '')
pay = request.POST.get('pay', '')
product_info = request.POST.get('product_info', '')
ret = pay(user_id, pay, product_info)
return render(request, '/view_wallet.html', {'wallet':ret})

Django는 기본적으로 CSRF 기능을 강제하고 있지만 몇몇 기능에 대해서 CSRF 기능을 해제 하여야 하는 경우는 미들웨어의 csrf 기능을 전역적으로 disable 하기 보다는 미들웨어의 csrf 기능은 활성화 하고 필요한 요청에 대해서만 csrf_exempt 데코레이터를 사용하여야 하고 이 경우에 크로스사이트 요청 위조의 위협에 노출될 수 있으므로 주의를 기울여야 한다.

안전한 코드의 예

from django.shortcuts import render
from django.template import RequestContext

# csrf_exempt 데코레이터를 삭제하거나 주석처리한다.
# @csrf_exempt
def pay_to_point(request):
user_id = request.POST.get('user_id', '')
pay = request.POST.get('pay', '')
product_info = request.POST.get('product_info', '')

ret = pay(user_id, pay, product_info)

return render(request, '/view_wallet.html', {'wallet':ret})

⦁Django 템플릿 설정 사례

미들웨어에서 csrf 기능을 활성화 하여도 템플릿 페이지에 csrf 토큰을 명시하지 않을 경우 csrf 검증 기능을 사용할 수 없다.

안전하지 않은 코드의 예

<form action="" method="POST">

<table>
{{form.as_table}}
</table>
<input type="submit"/>
</form>

미들웨어에서 csrf 기능을 활성화한 후에 템플릿 페이지에서는 csrf_token 값을 명시하여야만 정상적인 csrf 검증 기능을 사용할 수 있다.

안전한 코드의 예

<form action="" method="POST">
{% csrf_token %} <!--csrf_token 사용->
<table>
{{form.as_table}}
</table>
<input type="submit"/>
</form>

■ Flask 프레임워크 사용

⦁Flask app 설정 사례

Flask의 WTF 패키지를 사용하면 CSRF 보호 기법을 사용 할 수 있다. 아래 예제 코드는 CSRF 설정이 되지 않은 상태이다

안전하지 않은 코드의 예

from flask import Flask

app = Flask(__name__)

Flask 프레임워크를 사용하여 웹 애플리케이션을 구축하는 경우, CSRF를 방지하려면 Flask-WTF extension의 CSRFProtect를 사용해야 한다. app에 설정하고 HTML(템플릿) 페이지에는 CSRF토큰을 추가한다.

안전한 코드의 예

from flask import Flask
from flask_wtf.csrf import CSRFProtect

# CSRF 설정 추가
csrf = CSRFProtect(app)
app = Flask(__name__)
app.config[‘SECRET_KEY’] = os.environ.get('SECRET_KEY')
csrf.init_app(app)

⦁Flask 템플릿 설정 사례

위 코드처럼 함수에 CSRF 기능을 활성화 하여도 Html 파일에 csrf_token을 명시 하지 않을 경우 CSRF 검증 기능을 사용할 수 없다.

안전하지 않은 코드의 예

<form action="" method="POST">

<table>
{{as_table}}
</table>
<input type="submit"/>
</form>

템플릿 페이지에도 csrf_token 값을 명시해줘야 정상적인 csrf 검증이 수행된다.
FlaskForm 사용 시에는 {{ form.csrf_token }}을 명시해야 하고 템플릿에 FlaskForm을 사용하지 않을 경우에는 form 태그 안에 hidden input 값으로 {{ csrf_token }} 값을 명시해야 한다.

안전한 코드의 예

<form action="" method="POST">

<input type="hidden" name="csrf_token" value="{{ csrf_token }}" />
<table>
{{table}}
</table>
<input type="submit"/>
</form>

[시큐어코딩 가이드] 제거되지 않고 남은 디버그 코드

아빠아이티 — Wed, 10 Aug 2022 21:41:04 +0900

■ 캡슐화

중요한 데이터 또는 기능성을 불충분하게 캡슐화하거나 잘못 사용함으로써 발생하는 보안약점으로 정보노출, 권한 문제 등이 발생할 수 있다.

제거되지 않고 남은 디버그 코드(시큐어코딩)

■ 개요

디버깅 목적으로 삽입된 코드는 개발이 완료되면 제거해야 한다. 디버그 코드는 설정 등의 민감한 정보를 담거나 시스템을 제어하게 허용하는 부분을 담고 있을 수 있다.

만일, 남겨진 채로 배포될 경우, 공격자가 식별 과정을 우회하거나 의도하지 않은 정보와 제어 정보가 노출될 수 있다.

Django 프레임워크, Flask 프레임워크는 전역적으로 DEBUG 모드를 설정할 수 있다. DEBUG 모드를 사용하면 브라우저에서 임의의 Python 코드를 실행할 수도 있고 Python에서 발생한 모든 오류가 출력되어 정보노출의 위험이 있다.

어플리케이션을 배포 전에 반드시 DEBUG 모드를 비활성화 해야 한다.

■ 안전한 코딩 기법

소프트웨어 배포 전, 반드시 디버그 코드를 확인 및 삭제한다. Django 프레임워크의 경우 전역적으로 DEBUG 모드를 비 활성화 하려면 settings.py 파일에 설정을 하고 Flask 프레임워크는 app_run() 전에 debug = False로 설정한다.

코드예제

다음은 Django의 미들웨어 세팅 파일인 settings.py 파일이다. 개발 시 사용된 DEBUG 옵션이 True로 설정되어 있다.

■ Django 예제

안전하지 않은 코드의 예

from django.urls import reverse_lazy
from django.utils.text import format_lazy

DEBUG = True

ROOT_URLCONF = 'test.urls'
SITE_ID = 1

DATABASES = {
'default': {
'ENGINE': 'django.db.backends.sqlite3',
'NAME': ':memory:',
}
}

개발이 끝난 소스코드를 운영, 배포 할 경우에는 DEBUG 옵션을 False로 변경해야 한다.

안전한 코드의 예

from django.urls import reverse_lazy
from django.utils.text import format_lazy

DEBUG = False

ROOT_URLCONF = 'test.urls'
SITE_ID = 1

DATABASES = {
'default': {
'ENGINE': 'django.db.backends.sqlite3',
'NAME': ':memory:',
}
}

■ Flask 예제

다음은 Flask의 예제로 debug 모드가 True로 설정되어 있다.

안전하지 않은 코드의 예

from flask import Flask

app = Flask(__name__)
app.debug = True

@app.route('/')
def hello_world():
return 'Hello World!'

if __name__ == '__main__':
app.run()

개발이 끝난 소스코드를 운영, 배포 할 경우에는 debug 옵션을 False로 변경해야 한다.

안전한 코드의 예

from flask import Flask

app = Flask(__name__)
app.debug = False

@app.route('/')
def hello_world():
return 'Hello World!'

if __name__ == '__main__':
app.run()

[시큐어코딩 가이드] 보안기능 결정에 사용되는 부적절한 입력값

아빠아이티 — Wed, 10 Aug 2022 02:13:49 +0900

■ 입력데이터 검증 및 표현

보안기능 결정에 사용되는 부적절한 입력값

■ 개요

응용프로그램이 외부 입력값에 대한 신뢰를 전제로 보호메커니즘을 사용하는 경우 공격자가 입력값을 조작할 수 있다면 보호메커니즘을 우회할 수 있게 된다.

개발자들이 흔히 쿠키, 환경변수 또는 히든필드와 같은 입력값이 조작될 수 없다고 가정하지만 공격자는 다양한 방법을 통해 이러한 입력값들을 변경할 수 있고 조작된 내용은 탐지되지 않을 수 있다. 인증이나 인가와 같은 보안결정이 이런 입력값(쿠키, 환경변수, 히든필드 등)에 기반을 두어 수행되는 경우 공격자는 이런 입력값을 조작하여 응용프로그램의 보안을 우회할 수 있으므로 충분한 암호화, 무결성 체크를 수행하고 이와 같은 메커니즘이 없는 경우엔 외부사용자에 의한 입력값을 신뢰해서는 안 된다.

파이썬의 Djagno 프레임워크에서 세션을 관리하는 기능을 제공하고 있어 이 기능사용 시에는 세션쿠키의 만료 시점을 설정하여 사용할 수 있으며 DRF(Django Rest Framework)에서 제공하는 토큰 및 세션 기능을 사용하여 안전하게 구성할 수 있다.

■ 안전한 코딩 기법

상태정보나 민감한 데이터 특히 사용자 세션정보와 같은 중요한 정보는 서버에 저장하고 보안확인 절차도 서버에서 실행한다.

보안설계관점에서 신뢰할 수 없는 입력 값이 응용프로그램 내부로 들어올 수 있는 지점과 보안결정에 사용되는 입력 값을 식별하고 제공되는 입력 값에 의존할 필요가 없는 구조로 변경할 수 있는지 검토한다.

코드예제

다음은 안전하지 않은 코드로 쿠키에 저장된 권한 등급을 가져와 관리자인지 확인 후에 사용자의 패스워드를 초기화 하고 메일을 보내는 예제이다. 5라인에서 쿠키에서 등급을 가져와 9라인에서 관리자인지 확인하고 있다.

안전하지 않은 코드의 예

from django.shortcuts import render

def init_password(request):
# 쿠키에서 권한 정보를 가져옴
roll = request.COOKIE['roll']
request_id = request.POST.get('user_id', '')
request_mail = request.POST.get('user_email','')
# 쿠키에서 가져온 권한이 관리자인지 비교
if roll == 'admin'
# 사용자의 패스워드 초기화 및 메일 발송 처리
password_init_and_sendmail(request_id, request_mail)
return render(request, '/sucess.html')
else:
return render(request, '/failed.html')

중요기능을 수행하는 결정을 위한 데이터는 위변조 가능성이 높은 쿠키보다 세션에 저장하도록 한다.

안전한 코드의 예

from django.shortcuts import render
def init_password(request):
# 세션에서 권한 정보를 가져옴
roll = request.session['roll']
request_id = request.POST.get('user_id', '')
request_mail = request.POST.get('user_email','')
# 세션에서 가져온 권한이 관리자인지 비교
if roll == ‘admin’
# 사용자의 패스워드 초기화 및 메일 발송 처리
password_init_and_sendmail(request_id, request_mail)
return render(request, '/sucess.html')
else:
return render(request, '/failed.html')

[시큐어코딩 가이드] LDAP 삽입

아빠아이티 — Wed, 10 Aug 2022 02:10:00 +0900

■ 입력데이터 검증 및 표현

LDAP 삽입

■ 개요

공격자가 외부 입력을 통해서 의도하지 않은 LDAP(LightweightDirectoryAccessProtocol) 명령어를 수행할 수 있다.

즉, 웹 응용프로그램이 사용자가 제공한 입력을 올바르게 처리하지 못하면, 공격자가 LDAP 명령문의 구성을 바꿀 수 있다. 이로 인해 프로세스가 명령을 실행한 컴포넌트와 동일한 권한(Permission)을 가지고 동작하게 된다.

외부 입력값을 적절한 처리 없이 LDAP 쿼리문이나 결과의 일부로 사용하는 경우, LDAP 쿼리문이 실행될 때 공격자는 LDAP 쿼리문의 내용을 마음대로 변경할 수 있다. Python에는 Python-ldap 및 ldap3라는 두 개의 라이브러리가 있다. ldap3가 python-ldap 보다 더 현대적인 라이브러리 이다.

ldap3 모듈은 Python 2.6부터 모든 Python 3 버전에 호환된다. ldap3에서는 좀 더 Python적인 방식으로 LDAP서버와 상호 작용할 수 있는 완전한 기능의 추상화 계층이 포함되어 있다. python-ldap은 OpenLDAP에서 만든 Python2의 패키지로 Python3에서는 ldap3 라이브러리를 사용하는 것이 권장된다.

■ 안전한 코딩 기법

다른 삽입 공격과 마찬가지로 LDAP 삽입에 대한 기본적인 방어 방법은 적절한 유효성 검사이다.
⦁올바른 인코딩(Encoding) 함수를 사용하여 모든 변수 이스케이프(Escape)
⦁화이트리스트 방식의 입력 값 유효성 검사
⦁사용자 비밀번호와 같은 민감한 정보가 포함된 필드 인덱싱
⦁LDAP 바인딩 계정에 할당된 권한 최소화

코드예제

사용자의 입력을 바로 LDAP 질의문에 사용하고 있으며 이 경우 권한 상승 등의 공격에 노출될 수 있다.

안전하지 않은 코드의 예

from ldap3 import Connection, Server, ALL
from django.shortcuts import render

def ldap_query(request):
# 외부 입력값으로 LDAP 쿼리문의 인자에 검증 없이 사용하면
# 안전하지 않다.
search_keyword = request.POST.get('search_keyword','')

dn = server.config['bind_dn']
password = server.config['password']

address = 'ldap.badSoruce.com'
server = Server(address, get_info=ALL)
conn = Connection(server, user=dn, password, auto_bind=True )

# 사용자 입력을 필터링 하지 않는 경우 공격자의 권한 상승으로
# 이어질 수 있다
search_str = '(&(objectclass=%s))' % search_keyword

conn.search('dc=company,dc=com', search_str, attributes=['sn', 'cn', 'address', 'mail', 'mobile', 'uid'])
return render(request, '/ldap_query_response.html', {'ldap':conn.entries})

사용자의 입력 중 LDAP 질의문에 사용될 변수를 이스케이프 하여 질의문을 실행 시 공격에 노출되는 것을 예방할 수 있다.

안전한 코드의 예

from ldap3 import Connection, Server, ALL
from ldap3.utils.conv import escape_filter_chars
from django.shortcuts import render

def ldap_query(request):
search_keyword = request.POST.get('search_keyword','')

dn = server.config['bind_dn']
password = server.config['password']

address = 'ldap.goodsource.com'
server = Server(address, get_info=ALL)
conn = Connection(server, dn, password, auto_bind=True )

# 사용자의 입력에 필터링을 적용하여 공격에 사용될 수 있는 문자를
# 이스케이프하고 있다
escpae_keyword = escape_filter_chars(search_keyword)
search_str = '(&(objectclass=%s))' % escpae_keyword

conn.search('dc=company,dc=com', search_str, attributes=['sn', 'cn', 'address', 'mail', 'mobile', 'uid'])
return render(request, '/ldap_query_response.html', {'ldap':conn.entries})

[시큐어코딩 가이드] XML 삽입

아빠아이티 — Wed, 10 Aug 2022 02:04:14 +0900

■ 입력데이터 검증 및 표현

XML 삽입

■ 개요

검증되지 않은 외부 입력값이 XQuery 또는 XPath 쿼리문을 생성하는 문자열로 사용되어 공격자가 쿼리문의 구조로 임의로 변경하고 임의의 쿼리를 실행하여 허가되지 않은 데이터를 열람하거나 인증절차를 우회할 수 있는 보안약점이다.

■ 안전한 코딩 기법

XQuery 또는 XPath 쿼리에 사용되는 외부 입력데이터에 대하여 특수문자 및 쿼리 예약어를 필터링 하고 파라미터화 (Parameterized)된 쿼리문을 지원하는 XQuery를 사용한다.

코드예제

다음 예제는 Python에서 XML 데이터를 처리하기 위한 기본 모듈인 xml.etree.ElementTree를 이용하여 사용자 정보를 가져오는 예제이다. xml.etree.ElementTree 모듈은 제한적인 Xpath 기능을 제공하고 Xpath표현식을 매개변수화 해서 사용하는 방법을 제공하지 않는다.

안전하지 않은 코드의 예

from lxml import etree

def parse_xml(request):
user_name = request.POST.get('user_name', '')

parser = etree.XMLParser(resolve_entities=False)
tree = etree.parse('user.xml', parser)
root = tree.getroot()

# 검증되지 않은 외부 입력값 user_name를 사용하여
# 안전하지 않은 질의문이 작성되에 query변수에 저장
path = "/collection/users/user[@name='" + user_name + "']/home/text()"
elmts = root.xpath(query)
return render(request, 'parse_xml.html', {'xml_element':elmts})

Python 3.3 이후 보안상의 이유로 금지된 xml.etree.ElementTree 모듈 대신 lxml 라이브러리를 사용하고, 외부 입력값은 매개변수화 해서 사용한다.

안전한 코드의 예

from lxml import etree

def parse_xml(request):
user_name = request.POST.get('user_name', '')

parser = etree.XMLParser(resolve_entities=False)
tree = etree.parse('user.xml', parser)
oot = tree.getroot()

query = '/collection/users/user[@name = $paramname]/home/text()'
#외부 입력값을 paramname으로 매개변수화 해서 사용
elmts = root.xpath(query, paramname=user_name)
return render(request, 'parse_xml.html', {'xml_element':elmts})

[시큐어코딩 가이드] 신뢰되지 않은 URL주소로 자동접속 연결

아빠아이티 — Wed, 10 Aug 2022 01:23:33 +0900

■ 입력데이터 검증 및 표현

신뢰되지 않은 URL주소로 자동접속 연결

■ 개요

사용자로부터 입력되는 값을 외부사이트의 주소로 사용하여 자동으로 연결하는 서버 프로그램은 피싱(Phishing) 공격에 노출되는 취약점을 가질 수 있다. 일반적으로 클라이언트에서 전송된 URL 주소로 연결하기 때문에 안전하다고 생각할 수 있으나, 공격자는 해당 폼의 요청을 변조함으로써 사용자가 위험한 URL로 접속할 수 있도록 공격할 수 있다.

Python 프레임워크의 redirect 함수를 사용 할 때에도 해당 프레임워크 버전에서 알려진 취약점이 있는지 확인해야 한다. Flask 프레임워크의 Flask-Security-Too 라이브러리의 경우 get_post_logout_redirect 함수와 get_post_login_redirect 함수가 4.1.0 이전 버전에서 URL 유효성 검사를 우회하고 사용자를 임의의 URL로 리디렉션 할 수 있는 취약점이 존재한다.

■ 안전한 코딩 기법

리디렉션을 허용하는 모든 URL을 서버 측 화이트리스트로 관리하고 사용자 입력 값을 리디렉션 할 URL이 존재하는지 검증해야 한다. 만약 사용자 입력 값이 화이트 리스트로 관리가 불가능하고 리디렉션 URL의 인자 값으로 사용되어야만 하는 경우는 모든 리디렉션에서 프로토콜과 host정보가 들어가지 않는 상대 URL(relative)을 사용해야 하고, 검증해야 한다.

또는 절대 URL(absoute URL)을 사용할 경우 리디렉션을 실행하기 전에 사용자 입력 URL https://myhompage.com/ 처럼 서비스하고 있는 URL로 시작하는지를 확인해야 한다.

코드예제

다음은 안전하지 않은 예제로 사용자로부터 입력 받은 url 주소를 검증 없이 reirect함수의 인자로 사용하고 있다. 이 경우 사용자가 의도하지 않은 사이트로 접근하도록 하거나 피싱(Phishing)공격에 노출될 수 있다.

안전하지 않은 코드의 예

from django.shortcuts import redirect

def redirect_url(request):
url_string = request.POST.get('url', '')
# 사용자 입력에 포함된 URL 주소로 리다이렉트 하는 경우
# 피싱 사이트로 접속되는 등 사용자가 피싱 공격에 노출될 수 있다
return redirect(url_string)

다음은 안전한 코드 예제로 사용자로부터 주소를 입력받아 redirect하고 있는 코드로 위험한 도메인이 포함되어 있을 수 있기 때문에 화이트 리스트로 사전에 정의된 안전한 웹사이트에 한하여 redirect 할 수 있도록 한다.

안전한 코드의 예

from django.shortcuts import render, redirect

ALLOW_URL_LIST = [
'127.0.0.1',
'192.168.0.1',
'192.168.0.100',
'https://login.myservice.com',
'/notice'
]

def redirect_url(request):
url_string = request.POST.get('url', '')

# 이동할 수 있는 URL 범위를 제한하여
# 위험한 사이트의 접근을 차단하고 있다
if url_string not in ALLOW_URL_LIST:
return render(request, '/error.html', {'ERROR':'허용되지 않는 주소입니다.})

return redirect(url_string)

[시큐어코딩 가이드] 위험한 형식 파일 업로드

아빠아이티 — Wed, 10 Aug 2022 00:35:09 +0900

■ 입력데이터 검증 및 표현

위험한 형식 파일 업로드

■ 개요

서버 측에서 실행될 수 있는 스크립트 파일(asp, jsp, php, sh 파일 등)이 업로드 가능하고, 이 파일을 공격자가 웹을 통해 직접 실행시킬 수 있는 경우, 시스템 내부명령어를 실행하거나 외부와 연결하여 시스템을 제어할 수 있는 보안약점이다.

공격자가 실행 가능한 파일을 서버에 업로드 하면 파이썬에서 String 형식으로 표현된 표현식을 인수로 받아 반환하는 eval() 함수와 인수로 받은 문자열을 실행하는 exec()를 같이 사용하여 여러 변수들을 동적으로 값을 할당받아 실행될 수 있어 웹쉘(Web Shell) 공격에 취약하다.

■ 안전한 코딩 기법

파일 업로드 공격을 방지하기 위해서 특정 파일 유형만 허용하도록 화이트리스트 방식으로 파일 유형을 제한하여야 한다. 이때 파일의 확장자 및 업로드 된 파일의 Content-Type도 같이 확인한다. 파일 크기 및 파일 개수를 제한하여 시스템 자원 고갈 등으로 서비스 거부 공격이 발생하지 않도록 제한하여야 한다.

업로드 된 파일을 웹 루트 폴더 외부에 저장하여 공격자가 URL을 통해 파일을 실행할 수 없도록 해야 하고 가능하면 업로드 되는 파일의 이름은 공격자가 추측할 수 없는 무작위한 이름으로 변경하여 저장하는 것이 안전하다. 또한 업로드 된 파일을 저장할 경우에는 최소 권한만 부여하는 것이 안전하고 실행 여부를 확인하여 실행권한을 삭제 한다.

코드예제

업로드 할 파일에 대한 개수, 크기, 확장자 등의 유효성 검사를 하지 않고 파일시스템에 저장 할 경우 공격자에 의해 악성코드, 쉘 코드 등 위험한 형식의 파일을 시스템에 업로드 할 수 있다.

안전하지 않은 코드의 예

from django.shortcuts import render
from django.core.files.storage import FileSystemStorage

def file_upload(request):
if request.FILES['upload_file']:
# 사용자로부터 업로드 되는 파일에 대해 검증 없이 저장하고 있어
# 안전하지 않다.
upload_file = request.FILES['upload_file']
fs = FileSystemStorage(location='media/screenshot', base_url='media/screenshot')
# 업로드 하는 파일에 대한 크기, 개수, 확장자 등을 검증 하지 않음.
filename = fs.save(upload_file.name, upload_file)
return render(request, '/success.html', {'filename':filename})
return render(request, '/error.html', {'error':'파일 업로드 실패'})

아래 코드는 업로드 하는 파일의 파일 개수, 파일 크기, 파일 확장자 등을 검사하여 업로드를 제한하고 있다. 21라인의 파일 타입 확인은 MIME 타입을 확인하는 과정으로 파일이름에서 확장자만 검사할 경우 변조된 확장자를 통해 업로드 제한을 회피할 수 있어 파일자체의 시그니처를 확인하는 과정이다.

안전한 코드의 예

import os
from django.shortcuts import render
from django.core.files.storage import FileSystemStorage

# 업로드 하는 파일에 대한 개수, 크기, 확장자 제한
FILE_COUNT_LIMIT = 5
# 업로드 하는 파일의 최대 사이즈 제한 예 ) 5MB - 5*1024*1024
FILE_SIZE_LIMIT = 5242880
# 허용하는 확장자는 화이트리스트로 관리한다.
WHITE_LIST_EXT = [
'.jpg',
'.jpeg'
]

def file_upload(request):
# 파일 개수 제한
if len(request.FILES) == 0 or len(request.FILES) > FILE_COUNT_LIMIT:
return render(request, '/error.html', {'error': '파일 개수 초과'})

for filename, upload_file in request.FILES.items():
# 파일 타입 체크
if upload_file.content_type != 'image/jpeg':
return render(request, '/error.html', {'error': '파일 타입 오류'})
# 파일 크기 제한
if upload_file.size > FILE_SIZE_LIMIT:
return render(request, '/error.html', {'error': '파일사이즈 오류'})
# 파일 확장자 검사
file_name, file_ext = os.path.splitext(upload_file.name)
if file_ext.lower() not in WHITE_LIST_EXT:
return render(request, '/error.html', {'error': '파일 타입 오류'})

fs = FileSystemStorage(location='media/screenshot', base_url = 'media/screenshot')
for upload_file in request.FILES.values():
fs.save(upload_file.name, upload_file)

return render(request, '/success.html', {'filename': filename})

■ ORM 사용 예제

Django의 querysets는 쿼리 매개변수화를 사용하여 쿼리를 구성하기 때문에 SQL 삽입 공격으로부터 보호된다. 부득이 하게 원시 SQL, 또는 사용자 정의 SQL을 사용할 경우에도 외부 입력값을 매개변수화된 쿼리의 바인딩 변수로 사용하여야한다.

아래는 Django의 원시 SQL을 사용하는 예제이다. Django의 ORM 프레임워크는 원시 SQL 쿼리를 수행하기 위해 Manager.raw() 기능을 제공한다. 다음은 안전하지 않은 코드로 6라인에서 입력받은 외부 입력값을 10라인의 쿼리문 생성에 문자열 조합으로 사용하여 쿼리문의 구조를 만들고 있다.

안전하지 않은 코드의 예

from django.shortcuts import render
from app.models import Member

def member_search(request):
# 외부로부터 입력 값을 가져온다.
name = request.POST.get('name', '')

# 외부로부터 입력 받은 값을 검증 없이 쿼리문 생성에 사용하여
# 안전하지 않다.
query=“select * from member where name=‘” + name + “’”

# 외부 입력 값을 검증 없이 사용한 쿼리문을 raw()함수로 실행하면
# 안전하지 않다.
data = Member.objects.raw(query)
return render(request, '/member_list.html', {'member_list':data})

다음은 안전한 코드 예제로 Django에서 원시코드를 실행할 경우에도 매개변수화된 쿼리를 사용하고 params 인수를 사용하여 raw() 함수의 바인딩 변수로 사용하여야 한다.

9라인에서 쿼리문 생성을 매개변수화된 쿼리로 생성하고 6라인에서 입력받은 외부 입력값을 10라인의 raw()메소드에서 두 번째 인자의 바인딩변수로 사용하였다.

안전한 코드의 예

from django.shortcuts import render
from app.models import Member

def member_search(request):
# 외부로부터 입력 값을 가져온다.
name = request.POST.get('name', '')

# 외부 입력 값을 raw()함수 실행 시 바인딩 변수로 사용하여 쿼리 구조가
# 변경되지 않도록 한다.(list 형은 %s, dictionary 형은 %(key)s를 사용)
query='select * from member where name=%s'

# 인자화된 쿼리문을 사용하여 raw()함수를 사용하여 안전하다.
data = Member.objects.raw(query, [name])
return render(request, '/member_list.html', {'member_list':data})

[시큐어코딩 가이드] HTTP 응답분할

아빠아이티 — Tue, 9 Aug 2022 01:50:03 +0900

■ 입력데이터 검증 및 표현

HTTP 응답분할

■ 개요

HTTP 요청에 들어 있는 파라미터(Parameter)가 HTTP 응답헤더에 포함되어 사용자에게 다시 전달될 때, 입력값에 CR(CarriageReturn)이나 LF(LineFeed)와 같은 개행문자가 존재하면 HTTP 응답이 2개 이상으로 분리될 수 있다. 이 경우 공격자는 개행문자를 이용하여 첫 번째 응답을 종료 시키고, 두 번째 응답에 악의적인 코드를 주입하여 XSS 및 캐시훼손(CachePoisoning) 공격 등을 수행할 수 있다.

Python 3.9.5+ 버전에서의 URLValidator에서 HTTP 응답분할 취약점이 보고되기도 했고 해당 라이브러리를 사용하는 Django버전에도 영향이 있다. HTTP 응답분할 공격으로부터 어플리케이션을 안전하게 지키려면 최신 버전의 라이브러리, 프레임 워크를 사용하고 외부 입력값에 대해서는 철저한 검증 작업을 수행해야 한다.

■ 안전한 코딩 기법

요청 파라미터의 값을 HTTP 응답헤더(예를 들어, Set-Cookie 등)에 포함시킬 경우 CR(\r), LF(\n)와 같은 개행문자를 제거한다. 외부 입력값이 헤더, 쿠키, 로그등에 사용될 경우에는 항상 개행 문자를 검증하고 헤더에 사용되는 예약어 등은 화이트리스트로 제한 할 수 있으면 화이트리스트로 제한하여야 한다.

코드예제

사용자 요청에 포함된 값을 필터링 및 검증 없이 응답에 사용하는 경우 개행문자로 인해 여러 개의 응답으로 분할되어 사용자에게 전달될 수 있다.

안전하지 않은 코드의 예

from django.http import HttpResponse

def route(request):
content_type = request.POST.get('contnet-type')
# 외부 입력값을 검증 또는 필터링 하지 않고
# 응답헤더의 값으로 포함시켜 회신한다.
......
res = HttpResponse()
res['Content-Type'] = content_type
return res

응답 분할을 예방하기 위해 \r, \n과 같은 문자에 대해서 치환 또는 예외처리 하여 응답분할이 발생하지 않도록 예방하여야한다.

안전한 코드의 예

from django.http import HttpResponse

def route(request):
content_type = request.POST.get('contnet-type')

# 응답헤더에 포함될 수 있는 외부 입력값에 대해 개행문자를 제거한다.
content_type = content_type.replace('\r', '')
content_type = content_type.replace('\n', '')
......
res = HttpResponse()
res['Content-Type'] = content_type
return res

[시큐어코딩 가이드] Private 배열에 Public 데이터 할당

아빠아이티 — Tue, 9 Aug 2022 01:35:25 +0900

■ 캡슐화

중요한 데이터 또는 기능성을 불충분하게 캡슐화하거나 잘못 사용함으로써 발생하는 보안약점으로 정보노출, 권한 문제 등이 발생할 수 있다.

Private 배열에 Public 데이터 할당

■ 개요

public으로 선언된 메소드의 인자가 private 선언된 배열에 저장되면, private 배열을 외부에서 접근하여 배열 수정과 객체 속성 변경이 가능해진다.

■ 안전한 코딩 기법

public으로 선언된 메소드의 인자를 private선언된 배열로 저장되지 않도록 한다. 인자로 들어온 배열의 복사본을 생성하고 clone() 메소드를 통해 복사된 원소를 저장하도록 하여 private 배열에 할당하여 private 선언된 배열과 객체속성에 대한 의도하지 않게 수정되는 것을 방지한다.

만약 배열 객체의 원소가 String 타입 등과 같이 변경이 되지 않는 경우에는 인자로 들어온 배열의 복사본을 생성하여 할당한다.

코드예제

다음 예제는 __를 이용해서 Python의 내부 배열을 생성하고 외부 값을 대입하는 public 메소드를 사용하고 있다. 이 경우 특정 배열 타입에 따라 외부에서 private 배열을 변조할 수 있는 문제를 내포하고 있다.

안전하지 않은 코드의 예

import copy
class UserObj():
__private_variable = []
def __init__(self):
pass

# private 배열에 외부 값을 바로 대입하는 public 메소드를 사용하는
# 경우 취약함
def set_private_member(self, num):
self.__private_variable = num

아래 예제는 내부와 외부의 배열이 서로 참조되는 것을 예방하기 위해 [:]로 새로운 객체를 생성하여 값을 대입하고 있다.

안전한 코드의 예

class UserObj():
def __init__(self):
self.__privateVariable = []

# private 배열에 외부 값을 바로 대입하는 경우 [:]를 사용하여
# 외부와 내부의 배열이 서로 참조되지 않도록 해야 함
def set_private_member(self, num):
self.__privateVariable = num[:]

[시큐어코딩 가이드] 운영체제 명령어 삽입

아빠아이티 — Tue, 9 Aug 2022 01:27:00 +0900

■ 입력데이터 검증 및 표현

운영체제 명령어 삽입

■ 개요

적절한 검증절차를 거치지 않은 사용자 입력값이 운영체제 명령어의 일부 또는 전부로 구성되어 실행되는 경우, 의도하지 않은 시스템 명령어가 실행되어 부적절하게 권한이 변경되거나 시스템 동작 및 운영에 악영향을 미칠 수 있다.

일반적으로 명령어 라인의 파라미터나 스트림 입력 등 외부 입력을 사용하여 시스템 명령어를 생성 하는 프로그램이 많이 있다. 하지만 이러한 경우 외부 입력 문자열은 신뢰할 수 없기 때문에 적절한 처리를 해주지 않으면, 공격자가 원하는 명령어 실행이 가능하게 된다.

파이썬에서 eval() 함수와 exec() 함수는 내부에서 문자열을 실행하기에 편리하지만, String 형식의 표현된 식을 인수로 받아 반환하는 eval() 함수와 인수로 받은 문자열을 실행하는 exec()를 같이 사용하면 여러 변수들에 동적으로 값을 할당하여 사용될 수 있어 Command Injection 공격에 취약하다.

■ 안전한 코딩 기법

외부 입력값이 시스템 명령에 포함되는 경우 |, ;, &, :, >, <, `(backtick), \, ! 과 같이 멀티라인 파이프 리다이렉트 문자 등을 필터링 하고 명령을 수행할 파일명, 옵션을 제한하여 인자로만 사용될 수 있도록 한다. 외부 입력에 따라 명령어를 생성하거나 선택이 필요한 경우에는 명령어 생성에 필요한 값 들을 미리 지정해 놓고 외부 입력에 따라 선택하여 사용한다.

코드예제

다음 예제는 os.system을 이용하여 외부 입력 받은 값을 통해 프로그램을 실행하며, 외부에서 전달되는 인자 값은 명령어의 생성에 사용된다. 그러나 해당 프로그램에서 실행할 프로그램을 제한하지 않고 있기 때문에 외부의 공격자는 가능한 모든 프로그램을 실행시킬 수 있다.

안전하지 않은 코드의 예

import os
from django.shortcuts import render

def execute_command(request):
app_name_string = request.POST.get('app_name','')
# 입력받은 파라미터를 제한하지 않아 외부 입력값으로 전달된
# 모든 프로그램이 실행될 수 있음
os.system(app_name_string)
return render(request, '/success.html')

외부에서 입력 받은 값이 명령어의 인자로 사용되지 않고 명령어로 사용될 경우에는 미리 화이트리스트의 정의된 파라미터 배열을 만들어 놓고, 외부의 입력에 따라 적절한 파라미터를 선택하도록 하여, 외부의 부적절한 입력이 명령어로 사용될 가능성을 배제하여야 한다.

안전한 코드의 예

import os
from django.shortcuts import render

ALLOW_PROGRAM = ['notepad', 'calc']

def execute_command(request):
app_name_string = request.POST.get('app_name','')

# 입력받은 파라미터를 사용가능한 시스템 명령어 일부로 제한하여 사용
if app_name_string not in ALLOW_PROGRAM:
return render(request, '/error.html', {'ERROR':'허용되지 않은 프로그램입니다.'})

os.system(app_name_string)
return render(request, '/success.html')

다음은 subprocess()함수를 사용하여 별도의 프로세스로 응용프로그램을 실행하는 경우의 안전하지 않은 예제이다. 외부 입력값으로 받은 파라미터를 별도의 검증 없이 subprocess의 인자 값으로 사용하고 있다.

안전하지 않은 코드의 예

import subprocess
from django.shortcuts import render

def execute_command(request):
date = request.POST.get('date','')
# 입력받은 파라미터를 제한하지 않아 전달된 모든 프로그램이
# 실행될 수 있음
cmd_str = “cmd /c backuplog.bat ” + date
subprocess.run(cmd_str, shell=True)
return render(request, '/success.html')

운영체제 명령어 실행 시에는 아래와 같이 외부에서 들어오는 값에 의하여 멀티라인을 지원하는 특수문자(|, ;, &, :, `, \, !)나 파일 리다이렉트 특수문자( >, >> )등을 제거하여 원하지 않는 운영체제 명령어가 실행 될 수 없도록 필터링을 수행한다.

Command lines을 구문 분석하고 escape하는 기능을 제공하는 모듈인 shlex 모듈을 사용하여 필터링을 수행한다. subprocess의 옵션 값 중 shell=True 일 경우 중간 프로세스에 의해 명령이 실행되고 파일 이름, 와일드카드(*), 환경변수 확장 등의 쉘 기능을 검증 없이 실행하게 되므로 shell의 옵션은 삭제한다. (default 값은 False)

안전한 코드의 예

import subprocess
from django.shortcuts import render

def execute_command(request):
date = request.POST.get('date','')

# 명령어를 추가로 실행 또는 다른 명령이 실행될 수 있는 키워드에
# 대한 예외처리
for word in ['|', ';', '&', ':', '>', '<', '`', '\\', '!']:
date = date.replace(word, “”)

# shell=True 옵션은 제거 하고 명령과 인자를 배열로 입력
subprocess.run(["cmd", "/c", "backuplog.bat", date])
return render(request, '/success.html')

re.sub함수를 사용하여 다음과 같이 특수문자를 제거할 수도 있다.
※ date = re.sub('[|;&:><`\\\!]', '', date)

[시큐어코딩 가이드] 솔트 없이 일방향 해쉬 함수 사용

아빠아이티 — Tue, 9 Aug 2022 01:11:36 +0900

■ 보안기능

솔트 없이 일방향 해쉬 함수 사용

■ 개요

패스워드와 같은 중요정보를 저장할 경우, 임의의 길이인 데이터를 고정된 크기의 해쉬값으로 변환해주는 일방향 해쉬함수를 이용하여 저장한다. 만약 중요정보를 솔트(Salt)없이 일방향 해쉬함수를 사용하여 저장한다면, 공격자는 미리 계산된 레인보우 테이블을 이용하여 해쉬값을 알아낼 수 있다.

■ 안전한 코딩 기법

패스워드와 같은 중요정보를 저장할 경우, 임의의 길이인 데이터를 고정된 크기의 해쉬값으로 변환해주는 일방향 해쉬함수를 이용하여 저장한다.

Python에서 hashlib라이브러리를 사용해서 Hash값을 생성 할 수 있고, salt 값은 os.urandom()등 안전한 난수 생성 라이브러리를 사용하여 생성해야 한다.

코드예제

아래 예시와 같은 코드는 비밀번호와 같은 값을 해쉬하고 있는데 원문의 길이가 짧기 때문에 공격자에 의해 쉽게 유추될 수 있다.

안전하지 않은 코드의 예

import hashlib

def get_hash_from_pwd(pw):
# salt가 없이 생성된 해시값은 강도가 약하기 때문에 반드시 salt와 함께
# 생성해야 한다.
h = hashlib.sha256(pw.encode())

return h.digest()

짧은 길이의 비밀번호를 이용하여 강도 높은 해쉬값을 생성하기 위해서는 반드시 seed 값과 함께 해쉬를 해야 한다.

안전한 코드의 예

import hashlib
import secrets

def get_hash_from_pwd(pw):
# 비밀번호와 같이 길이가 짧은 값을 이용하여
# 고강도의 해시를 생성하기 위해서는 salt값을
# 사용하면 강도높은 해시를 생성할 수 있다
salt = secrets.token_hex(32)
h = hashlib.sha256(salt.encode() + pw.encode())

return h.digest(), salt

[시큐어코딩 가이드] 포맷 스트링 삽입

아빠아이티 — Tue, 9 Aug 2022 01:06:22 +0900

■ 입력데이터 검증 및 표현

포맷 스트링 삽입

■ 개요

외부로부터 입력된 값을 검증하지 않고 입·출력 함수의 포맷 문자열로 그대로 사용하는 경우 발생할 수 있는 보안약점이다. 공격자는 포맷 문자열을 이용하여 취약한 프로세스를 공격하거나 메모리 내용을 읽거나 쓸 수 있다. 그 결과, 공격자는 취약한 프로세스의 권한을 취득하여 임의의 코드를 실행 할 수 있다.

Python에서는 문자열의 포맷팅 방법으로 “% formatting”, “str.format”, “f-string” 3가지 방법의 문자열 포맷팅 형식을 제공하고 있다. f-string 방법은 Python 3.6부터 도입된 포맷팅 방법이다. 공격자는 포맷 문자열을 이용하여 내부 정보를 문자열로 만들 수 있으며, 이를 반환하는 경우 내부의 중요 정보가 유출될 수 있다.

■ 안전한 코딩 기법

포맷 문자열을 사용하는 함수를 사용할 때는 사용자 입력 값을 직접적으로 포맷 문자열로 사용하거나 포맷 문자열 생성에 포함시키지 않아야 한다. 사용자에게 입력받은 데이터를 포맷 문자열로 사용하고자 하는 경우에는 서식지정자를 포함하지 않거나 파이썬의 내장함수 또는 내장변수 등이 포함되지 않도록 해야 한다.

코드예제

아래 예시에서는 외부에서 입력받은 문자열을 바로 포맷스트링으로 사용하고 있는데 이는 내부 정보가 외부로 노출될 수 있는 문제를 내포하고 있다.

공격자가 # {user.__init__.__globals__[AUTHENTICATE_KEY]} 형식의 문자열 입력 시 글로벌 변수에 접근하여 AUTHENTICATE_KEY의 값을 탈취 할 수 있다.

안전하지 않은 코드의 예

from django.shortcuts import render
AUTHENTICATE_KEY = 'Passw0rd'

def make_user_message(request):
user_info = get_user_info(request.POST.get('user_id', ''))

format_string = request.POST.get('msg_format', '')
# 내부의 민감한 정보가 외부로 노출될 수 있다.
# 사용자가 입력한 문자열을 포맷 문자열로 사용하고 있어 안전하지 않다
message = format_string.format(user=user_info)

return render(request, '/user_page', {'message':message})

외부에서 입력받은 문자열은 반드시 포맷지정자를 이용하여 바인딩하여 사용하여야 하며 직접적으로 포맷문자열로 사용해서는 안 된다.

안전한 코드의 예

from django.shortcuts import render
AUTHENTICATE_KEY = 'Passw0rd'

def make_user_message(request):
user_info = get_user_info(request.POST.get('user_id', ''))

# 사용자가 입력한 문자열을 포맷 문자열로 사용하지 않아 안전하다
message = 'user name is {}'.format(user_info.name)

return render(request, '/user_page', {'message':message})

[시큐어코딩 가이드] 경로 조작 및 자원 삽입

아빠아이티 — Tue, 9 Aug 2022 01:02:23 +0900

■ 입력데이터 검증 및 표현

경로 조작 및 자원 삽입

■ 개요

검증되지 않은 외부 입력값을 통해 파일 및 서버 등 시스템 자원(파일, 소켓의 포트 등)에 대한 접근 혹은 식별을 허용할 경우, 입력 값 조작을 통해 시스템이 보호하는 자원에 임의로 접근할 수 있는 보안약점이다. 경로조작 및 자원삽입 약점을 이용하여 공격자는 자원의 수정·삭제, 시스템 정보누출, 시스템 자원 간 충돌로 인한 서비스 장애 등을 유발시킬 수 있다.

즉, 경로 조작 및 자원 삽입을 통해서 공격자가 허용되지 않은 권한을 획득하여, 설정에 관계된 파일을 변경하거나 실행시킬 수 있다.

Python에서는 subprocess.popen()과 같이 프로세스를 여는 함수, os.pipe()처럼 파이프를 여는 함수 , socket 연결 등에서 외부 입력값을 검증 없이 사용할 경우 경로 조작 및 자원 삽입의 취약점이 발생할 수 있다.

■ 안전한 코딩 기법

외부의 입력 값을 자원(파일, 소켓의 포트 등)의 식별자로 사용하는 경우, 적절한 검증을 거치도록 하거나, 사전에 정의된 리스트에서 선택되도록 한다. 특히, 외부의 입력이 파일명인 경우에는 경로순회 directory traversal) 공격의 위험이 있는 문자 ( /, \, .. 등)를 제거할 수 있는 필터를 이용한다.

코드예제

■ 경로 조작 예제

6라인에서 외부 입력값으로 파일 경로 등을 입력받아 14라인에서 파일을 오픈하고 있다. 만약 공격자가 ../../../../etc/passwd와 같은 값을 전달하면 의도하지 않았던 파일의 내용이 클라이언트 측에 표시되어 시스템 정보노출 문제가 발생한다.

안전하지 않은 코드의 예

import os
from django.shortcuts import render

def get_info(request):
# 외부로부터 파일명을 입력받고 있다.
request_file = request.POST.get('request_file')
filename, file_ext = os.path.splitext(request_file)
file_ext = file_ext.lower()

if file_ext not in ['.txt', '.csv']:
return render(request, '/error.html', {'error':'파일을 열수 없습니다.'})

# 외부로부터 입력받은 값을 검증 없이 파일 처리에 사용하였다.
with open(request_file) as f:
data = f.read()

return render(request, '/success.html', {'data':data})

외부 입력값에서 경로 조작 문자열 ( /, \, .. 등)을 제거한 후 파일의 경로설정에 사용한다.

안전한 코드의 예

import os
from django.shortcuts import render

def get_info(request):
# 외부 입력 값으로 받은 파일 이름은 검증하여 사용한다.
request_file = request.POST.get('request_file')

filename, file_ext = os.path.splitext(request_file)
file_ext = file_ext.lower()

if file_ext not in ['.txt', '.csv']:
return render(request, '/error.html', {'error':'파일을 열수 없습니다.'})

# 파일 명에서 경로 조작 문자열을 필터링 한다.
filename = filename.replace('.', '')
filename = filename.replace('/', '')
filename = filename.replace('\\', '')

with open(filename + file_ext) as f:
data = f.read()

return render(request, '/success.html', {'data':data})

relplace 함수 외에도 re.sub, filter 함수를 사용하여 특수문자를 필터링 하는 것도 가능하다.

■ 자원 삽입 예제

다음의 예제는 안전하지 않은 코드의 예로, 외부의 입력을 소켓 포트번호로 그대로 사용하고 있다. 외부 입력값을 검증없이 사용할 경우 기존 자원과 충돌로 에러가 발생할 수 있다.

안전하지 않은 코드의 예

import socket
from django.shortcuts import render

def get_info(request):
port = request.POST.get('port')

with socket.socket(socket.AF_INET, socket.SOCK_STREAM) as s:
# 외부로부터 입력받은 검증되지 않은 포트번호를 이용하여
# 소켓을 바인딩 하여 사용하고 있어 안전하지 않다.
s.bind(('127.0.0.1', port))
...
return render(request, '/success')

return render(request, '/error', {'error':'소켓연결 실패'})

다음은 안전한 예제를 나타낸 것이다. 내부자원에 접근할 때 외부에서 입력 받은 값을 포트번호와 같은 식별자로 그대로 사용하는 것은 바람직하지 않으며, 꼭 필요한 경우엔 가능한 리스트를 설정하고, 해당 범위 내에서 할당되도록 작성한다.

안전한 코드의 예

import socket
from django.shortcuts import render

ALLOW_PORT = [4000, 6000, 9000]

def get_info(request):
port = int(request.POST.get('port'))

# 사용 가능한 포트 번호를 화이트리스트로 제한
if port not in ALLOW_PORT:
return render(request, '/error', {'error':'소켓연결 실패'})

with socket.socket(socket.AF_INET, socket.SOCK_STREAM) as s:
s.bind(('127.0.0.1', port))
......
return render(request, '/success')

[시큐어코딩 가이드] 부적절한 인가

아빠아이티 — Tue, 9 Aug 2022 00:52:55 +0900

■ 보안기능

부적절한 인가

■ 개요

프로그램이 모든 가능한 실행 경로에 대해서 접근 제어를 검사하지 않거나 불완전하게 검사하는 경우, 공격자는 접근 가능한 실행경로를 통해 정보를 유출할 수 있다.

■ 안전한 코딩 기법

응용프로그램이 제공하는 정보와 기능을 역할에 따라 배분함으로써 공격자에게 노출되는 공격노출 (Attack Surface)을 최소화하고 사용자의 권한에 따른 ACL(Access Control List)을 관리한다.

코드예제

사용자 입력 값에 따라 삭제작업을 수행하고 있으며, 사용자의 권한 확인을 위한 별도의 통제가 적용되지 않고 있다.

안전하지 않은 코드의 예

from django.shortcuts import render
from .model import Content

def delete_content(request):
action = request.POST.get('action', '')
content_id = request.POST.get('content_id', '')
#작업 요청을 하는 사용자의 권한 확인 없이 delete를 수행
if action is not None and action == "delete":
Content.objects.filter(id=content_id).delete()
return render(request, '/success.html')
else:
return render(request, '/error.html', {'error':'접근 권한이 없습니다.'})

세션에 저장된 사용자 정보를 통해 해당 사용자가 수행할 작업에 대한 권한이 있는지 확인한 뒤 권한이 있는 경우에만 수행하도록 해야 한다.

안전한 코드의 예

from django.shortcuts import render
from .model import Content

@login_required
# 해당 기능을 수행할 권한이 있는지 확인
@permission_required('content.delete', raise_exception=True)
def delete_content(request):
action = request.POST.get('action', '')
content_id = request.POST.get('content_id', '')
if action is not None and action == "delete":
Content.objects.filter(id=content_id).delete()
return render(request, '/success.html')
else:
return render(request, '/error.html', {'error':'삭제 실패'})

[시큐어코딩 가이드] 하드코드된 중요정보

아빠아이티 — Tue, 9 Aug 2022 00:50:08 +0900

■ 보안기능

하드코드된 중요정보

■ 개요

프로그램 코드 내부에 하드코드된 패스워드를 포함하고, 이를 이용하여 내부 인증에 사용하거나 외부 컴포넌트와 통신을 하는 경우 관리자의 정보가 노출 될 수 있어 위험하다. 또한 하드코드된 암호화 키를 사용하여 암호화를 수행하면 암호화된 정보가 유출될 가능성이 높아진다. 암호키의 해쉬를 계산하여 저장하더라도 역계산이 가능하여 적어도 무차별 공격(Brute-Force)공격에는 취약할 수 있다.

■ 안전한 코딩 기법

패스워드는 암호화 하여 별도의 파일에 저장하여 사용한다. 또한 중요정보를 암호화하면, 상수가 아닌 암호화 키를 사용하도록 하며 암호화 되었더라도 소스코드 내부에 상수 형태의 암호화 키를 저장해서 사용하지 않도록 한다.

코드예제

소스코드에 패스워드 또는 암호화 키 같은 중요 정보를 하드코딩 하는 경우, 중요정보가 노출될 수 있어 위험하다.

안전하지 않은 코드의 예

import pymysql
def query_execute(query):
# usre, passwd가 소스코드에 평문으로 하드코딩되어 있음
dbconn = pymysql.connect(host='127.0.0.1', port='1234', user='root', passwd='1234',db='mydb', charset='utf8')
curs = dbconn.cursor()
curs.execute(query)
dbconn.commit()
dbconn.close()

패스워드와 같은 중요정보는 안전한 암호화 방식으로 암호화하여 별도의 분리된 공간(파일)에 저장해야 하며, 암호화된 중요정보를 사용하기 위해서는 복호화 과정을 거쳐야 한다.

안전한 코드의 예

import pymysql
import json

def query_execute(query, config_path):

with open(config_path, 'r') as config:
# 설정파일에서 user, passwd를 가져와 사용
dbconf = json.load(fp=config)
#암호화되어 있는 블록암호화 키를 복호화 해서 가져오는
#사용자 정의 함수
blockKey = get_decrypt_key('blockKey')
# 설정파일에 암호화되어 있는 값을 가져와 복호화한 후에 사용
dbUser = decrypt(blockKey, dbconf['user'])
dbPasswd = decrypt(blockKey, dbconf['passwd'])
dbconn = pymysql.connect(host=dbconf['host'], port=dbconf['port'], user=dbUser, passwd=dbPasswd, db=dbconf['db_name'], charset='utf8')
curs = dbconn.cursor()
curs.execute(query)
dbconn.commit()
dbconn.close()

[시큐어코딩 가이드] 주석문 안에 포함된 시스템 주요정보

아빠아이티 — Tue, 9 Aug 2022 00:36:58 +0900

■ 보안기능

주석문 안에 포함된 시스템 주요정보

■ 개요

패스워드를 주석문에 넣어두면 시스템 보안이 훼손될 수 있다. 소프트웨어 개발자가 편의를 위해서 주석문에 패스워드를 적어둔 경우, 소프트웨어가 완성된 후에는 그것을 제거하는 것이 매우 어렵게 된다. 또한, 공격자가 소스코드에 접근할 수 있다면, 아주 쉽게 시스템에 침입할 수 있다.

■ 안전한 코딩 기법

주석에는 ID, 패스워드 등 보안과 관련된 내용을 기입하지 않는다.

코드예제

편리성을 위해 아이디, 패스워드 등 중요정보를 주석문 안에 작성 후 지우지 않는 경우 정보노출 보안약점이 발생한다.

안전하지 않은 코드의 예

def user_login(id, passwd):
# 주석문에 포함된 중요 시스템의 인증 정보
# id = admin
# passwd = passw0rd
result = login(id, passwd)
return result

프로그램 개발 시에 주석문 등에 남겨놓은 사용자 계정이나 패스워드 등의 정보는 개발 완료 시에 확실하게 삭제하여야한다.

안전한 코드의 예

def user_login(id, passwd):
# 주석문에 포함된 민감한 정보는 삭제
result = login(id, passwd)
return result

[시큐어코딩 가이드] 잘못된 세션에 의한 데이터 정보 노출

아빠아이티 — Tue, 9 Aug 2022 00:29:56 +0900

■ 캡슐화

중요한 데이터 또는 기능성을 불충분하게 캡슐화하거나 잘못 사용함으로써 발생하는 보안약점으로 정보노출, 권한 문제 등이 발생할 수 있다.

잘못된 세션에 의한 데이터 정보 노출

■ 개요

다중 스레드 환경에서는 싱글톤(Singleton) 객체 필드에 경쟁조건(Race Condition)이 발생할 수 있다. 따라서, 다중 스레드 환경에서는 정보를 저장하는 전역 변수가 포함되지 않도록 하여, 서로 다른 세션에서 데이터를 공유하지 않도록 해야 한다.

■ 안전한 코딩 기법

싱글톤 패턴을 사용하는 경우, 변수 범위(Scope)에 주의를 기울여야 한다. 특히 다중 스레드 환경에서 클래스 변수의 값은 하위 메소드와 공유되므로 필요한 경우 인스턴스 변수로 선언하여 사용한다.

코드예제

다중 스레드 환경에서 파이썬의 클래스 변수는 스레드 간 서로 공유하게 된다.

클래스 변수에 값을 할당할 경우 서로 다른 세션 간에 데이터가 공유되어 의도하지 않은 데이터가 전달될 수 있다.

안전하지 않은 코드의 예

from django.shortcuts import render

class UserDescription:
user_name = ''

def get_user_profile(self):
result = self.get_user_discription(UserDescription.user_name)
......
return result

def show_user_profile(self, name):
# 클래스변수는 다른 세션과 공유되는 값이기 때문에 멀티스레드
# 환경에서 공유되지 말아야할 자원에 대해서 사용하는 경우
# 다른 세션에 의해 데이터가 노출될 수 있다.
UserDescription.user_name = name
self.user_profile = self.get_user_profile()

return render(request, 'profile.html', {'profile':self.user_profile})

공유되어서는 안 되는 변수는 인스턴스 변수로 선언하여 세션 간 공유 되지 않도록 한다.

안전한 코드의 예

from django.shortcuts import render

class UserDescription:

def get_user_profile(self):
result = self.get_user_discription(self.user_name)
......
return result

def show_user_profile(self, name):
# 인스턴스 변수로 사용하여 스레드 간 공유되지 못하도록 한다.
self.user_name = name
self.user_profile = self.get_user_profile()

return render(request, 'profile.html', {'profile':self.user_profile})

[시큐어코딩 가이드] DNS lookup에 의존한 보안결정

아빠아이티 — Tue, 9 Aug 2022 00:25:29 +0900

■ API 오용

의도된 사용에 반하는 방법으로 API를 사용하거나, 보안에 취약한 API를 사용하여 발생할 수 있는 보안약점이다.

DNS lookup에 의존한 보안결정

■ 개요

공격자가 DNS 엔트리를 속일 수 있으므로 도메인명에 의존에서 보안결정(인증 및 접근 통제 등)을 하지 않아야 한다.

만약, 로컬 DNS 서버의 캐시가 공격자에 의해 오염된 상황이라면, 사용자와 특정 서버 간의 네트워크 트래픽이 공격자를 경유하도록 할 수도 있다. 또한, 공격자가 마치 동일 도메인에 속한 서버인 것처럼 위장할 수도 있다.

■ 안전한 코딩 기법

보안결정에서 도메인명을 이용한 DNS lookup을 하지 않도록 한다.

코드예제

다음의 예제는 도메인명을 통해 해당 요청을 신뢰할 수 있는지를 검사한다. 그러나 공격자는 DNS 캐쉬 등을 조작해서 쉽게 이러한 보안 설정을 우회할 수 있다.

안전하지 않은 코드의 예

import socket

def is_trust(host_domain_name):
trusted = False
trusted_host = "trust.example.com"
# 공격자에 의해 실행되는 서버의 DNS가 변경될 수 있으므로
# 안전하지 않다
if trusted_host == host_name:
trusted = True
return trusted

도메인명을 이용한 비교를 하지 말고 IP 주소를 직접 비교하도록 수정한다.

안전한 코드의 예

import socket

def is_trust(host_domain_name):
trusted = False
trusted_ip = "192.168.10.7“
# 실제 서버의 IP 주소를 비교하여 DNS 변조에 대응
dns_resolved_ip = socket.gethostbyaddr(host_domain_name)

if trusted_ip == dns_resolved_ip:
trusted = True
return trusted

[시큐어코딩 가이드] 신뢰할 수 없는 데이터의 역직렬화

아빠아이티 — Tue, 9 Aug 2022 00:17:49 +0900

■ 코드오류

타입 변환 오류, 자원(메모리 등)의 부적절한 반환 등과 같이 개발자가 범할 수 있는 코딩 오류로 인해 유발되는 보안약점이다.

신뢰할 수 없는 데이터의 역직렬화

■ 개요

직렬화(Serialization)는 프로그램에서 특정 클래스의 현재 인스턴스 상태를 다른 서버로 전달하기 위해 클래스의 인스턴스 정보를 바이트 스트림으로 복사하는 작업으로, 메모리상에서 실행되고 있는 객체의 상태를 그대로 복제하여 파일로 저장하거나 수신 측에 전달하게 된다.

역직렬화(Deserialization)는 반대 연산으로 바이너리 파일(Binary File) 이나 바이트 스트림(Byte Stream)으로부터 객체 구조로 복원하게 된다. 이 때, 송신자가 네트워크를 이용하여 직렬화된 정보를 수신자에게 전달하는 과정에서 공격자가 전송 또는 저장된 스트림을 조작할 수 있는 경우에는 신뢰할 수 없는 역직렬화를 이용하여 무결성 침해, 원격 코드 실행, 서비스 거부 공격 등이 발생 할 수 있는 보안약점이다.

Python에서는 pickle 모듈을 통해 직렬화 및 역직렬화를 지원하고 각각 pickle, unpickle로 명칭한다. pickle 모듈은 데이터 변조에 대한 검증 과정이 없기 때문에 임의의 코드를 실행하는 악의적인 pickle 데이터를 구성할 수 있어 pickle을 사용하여 역직렬화 하는 경우 hmac으로 데이터에 서명하거나, json 모듈을 사용하는 것을 고려해야 한다.

■ 안전한 코딩 기법

초기화되지 않은 스택 메모리 영역의 변수는 임의 값이라 생각해서 대수롭지 않게 생각할 수 있으나 사실은 이전 함수에서 사용되었던 내용을 포함하고 있다. 공격자는 이러한 약점을 사용하여 메모리에 저장되어 있는 값을 읽거나 특정 코드를 실행할 수 있다. 모든 변수를 사용 전에 반드시 올바른 초기 값을 할당함으로서 이러한 문제를 예방한다.

신뢰할 수 없는 데이터를 역직렬화 하지 않도록 응용프로그램을 구성한다. 민감정보 또는 중요정보를 전송 시 암호화 통신을 적용하지 못하는 경우, 송신 측에서 서명을 추가하고 수신 측에서 서명을 확인하여 데이터의 무결성을 검증한다.

또는, 신뢰할수 있는 데이터의 식별을 위해 역직렬화 대상의 데이터가 사전에 검증된 클래스(Class)만을 포함하는지 검증하거나, 제한된 실행 권한을 구성하여 역직렬화 코드를 실행한다.

코드예제

다음 예제는 알 수 없는 사용자로부터 입력 받은 코드를 역직렬화 하고 있는데, 이와 같은 코드는 개발자가 의도하지 않은 임의 코드가 실행될 수 있다.

안전하지 않은 코드의 예

import pickle
from django.shortcuts import render

def load_user_object(request):
userinfo = bytes(request.POST.get('userinfo', ''), encoding = "utf-8")
# 사용자로부터 입력받은 알 수 없는 데이터를 직렬화
user_obj = pickle.loads(userinfo)
return render(request, '/load_user_obj.html', {'obj':user_obj})

아래 예제는 사용자로부터 전달받은 데이터를 hmac을 이용하여 안전한 사용자로부터 온 것인지 검증한 후 역직렬화 하고 있다.

안전한 코드의 예

import hmac
import hashlib
import pickle
from django.shortcuts import render

def load_user_object(request):
hash_pickle = bytes(request.POST.get('hash_pickle', ''), encoding = "utf-8")
userinfo = bytes(request.POST.get('userinfo', ''), encoding = "utf-8")
# HMAC 검증을 위한 비밀키는 안전하게 저장하여 사용
m = hmac.new(key=b’secret_key’, digestmod=hashlib.sha512)
m.update(userinfo)
# 전달받은 해시값(hash_pickle)과 직렬화 데이터(userinfo)의
# 해시값을 비교하여 검증
if hmac.compare_digest(m.digest(), hash_pickle):
user_obj = pickle.loads(userinfo_pickle)
return render(request, '/load_user_obj.html', {'obj':user_obj})
else:
return render(request, '/error.html', {'error':'직렬화 오류입니다.'})

이 외에도 내부의 데이터만을 필요로 하는 경우에는 JSON과 같은 텍스트 형태의 안전한 직렬화 형식을 사용하는 것이 옳다.

[시큐어코딩 가이드] 크로스 사이트 스크립트(XSS)

아빠아이티 — Tue, 9 Aug 2022 00:15:03 +0900

■ 입력데이터 검증 및 표현

크로스 사이트 스크립트 (XSS)

■ 개요

크로스사이트 스크립트 공격(Cross-site scripting Attacks)은 웹사이트에 악성 코드를 삽입하는 공격 방법이다. 공격자는 대상 웹 응용 프로그램의 결함을 이용하여 악성코드(일반적으로 클라이언트 측 JavaScript 사용)를 사용자에게 보낸다. XSS 공격은 일반적으로 애플리케이션의 호스트 자체를 대상으로 하지 않고 애플리케이션의 사용자를 목표로 삼는다.

XSS는 공격자가 웹 응용프로그램을 속여 사용자의 브라우저에서 실행할 수 있는 형식의 데이터를 보 때 발생한다. 일반적인 HTML과 공격자가 제공한 XSS코드의 조합 뿐만 아니라 악성코드 다운로드, 플러그인 또는 미디어 콘텐츠를 이용하기도 한다. 사용자가 양식에 입력한 데이터 또는 서버에서 클라이언트 소프트웨어(브라우저 또는 WebKit등)의 종료점(endpoint)으로 전달된 데이터가 적절한 검증 없이 사용자에게 표시되도록 허용하는 경우 발생한다.

XSS공격은 크게 세가지 유형의 공격방법이 있다.

⦁유형 1 : Reflective XSS (or Non-persistent XSS)
- Reflective XSS는 공격 코드를 사용자의 HTTP 요청에 삽입시킨 뒤, 해당 공격 코드가 서버 응답 내용에 그대로 반사 (Reflected)되어 브라우저에서 실행시키는 공격기법이다. Reflective XSS를 악용하려면 공격자가 사용자 속여 대상 사이트로 데이터를 보내도록 해야 한다. 이 방법은 종종 사용자가 악의적으로 제작된 링크를 클릭하도록 속임으로써 수행 된다.

대부분의 경우 Reflective XSS공격 메커니즘은 공개적으로 게시되거나 피해자 전송되는 피싱(Phishing) 이메일 또는 단축 URL 또는 모호한 URL에 매개 변수로 포함하는 방법이다. 이러한 방식으로 구성된 URL은 많은 피싱 체계의 핵심을 구성하며, 공격자는 피해자가 취약한 사이트를 참조하는 URL을 방문하도록 유도한다. 피해자가 링크를 방문하면 스크립트가 피해자의 브라우저에서 자동으로 실행됩니다.

⦁유형 2 : Persistent XSS (or Stored XSS)
- Persistent XSS는 신뢰할 수 없거나 확인되지 않은 사용자 입력이 대상 서버에 저장될 때 발생한다. Persistent XSS의 일반적인 대상에는 게시판 글, 댓글 또는 방문자 로그가 포함된다. 이 기능들은 인증되거나 인증되지 않은 다른 사용자가 공격자의 악성 콘텐츠를 볼 수 있는 기능이다. 소셜(Social) 미디어 사이트 및 회원 그룹에서 흔히 볼 수 있는 것과 같이 공개적으로 표시되는 프로필 페이지는 Persistent XSS의 손쉬운 공격 대상 중 하나입니다. 공격자는 프로필 입력박스에 악성 스크립트를 입력할 수 있으며 다른 사용자가 프로필을 방문하면 브라우저에서 자동으로 코드가 실행되도록 할 수 있다.

⦁유형 3 : DOM 기반 XSS (or Client-Side XSS)
- DOM 기반 XSS은 공격 스크립트가 포함된 악성 URL을 통해 전달되는 경우가 많기 때문에 Reflective XSS와 어느정도 유사하다. 그러나 신뢰할 수 있는 사이트의 HTTP 응답에 페이로드를 포함하는 대신 DOM 또는 문서 개체 모델을 수정하여 브라우저에서 독립적으로 완전한 공격을 실행한다. 이는 웹 페이지에 있는 사용자 입력 값을 적절하게 처리하기 위한 JavaScript의 검증 로직을 무효화 하는 것을 목표로 한다.

악성 스크립트가 삽입되면 공격자는 다양한 악성 활동을 수행 할 수 있다. 공격자는 세션 정보를 포함 한 쿠키와 같은 개인 정보를 피해자의 컴퓨터에서 공격자에게 전송할 수 있다. 공격자는 피해자의 정로를 사용하여 웹 사이트에 악의적인 요청을 보낼 수 있으며, 피해자가 해당 사이트를 관리 할 수 있는 관리자 권한이 있는 경우 사이트에 특히 위험할 수 있다. 피싱(Phishing) 공격은 신뢰할 수 있는 웹 사이트를 모방하고 피해자가 암호를 입력하도록 속여 공격자가 해당 웹 사이트에서 피해자의 계정을 손상시킬 수 있다.

파이썬에서 가장 많이 사용하고 있는 Django 프레임워크와 Flask 프레임워크에서는 각각 Django 템플릿과 Jinja2 템플릿을 사용할 시 크로스사이트 스크립트 공격에 사용될 수 있는 위험한 HTML 문자에 대해 HTML 특수문자 (HTML Entities)로 치환하는 기능을 제공하고 있어 프레임워크에서 제공하는 템플릿을 사용하는 경우 안전하게 사용할 수 있다.

■ 안전한 코딩 기법

외부 입력값 또는 출력값에 스크립트가 삽입되지 못하도록 문자열 치환 함수를 사용하여 &<>*‘/()등을 & < > " ' / ( )로 치환하거나, html라이브러리의 escape()를 사용한다.

HTML 태그를 허용하는게시판에서는 허용되는 HTML 태그들을 화이트리스트로 만들어 해당 태그만 지원하도록 한다. 파이썬에서 가장 많이 사용하는 프레임워크인 Django, Flask등을 사용하는 경우 외부 입력값에 악의적인 스크립트가 삽입되지 못하도록 프레임워크 자체에서 크로스사이트 스크립트 공격에 사용될 수 있는 문자를 HTML 특수문자(HTML Entities)로 치환하여 응답 페이지를 생성하므로 크로스사이트 스크립트로부터 보호된다.

프레임워크에서 크로스사이트 스크립트 공격으로부터 보호해 주는 기능이 있더라도 완전하지 않은 경우도 있고 개발자의 실수로 보호기능이 무효화 되는 경우가 있어 주의를기울여야 한다.

코드예제

■ Django 예제

Django 프레임워크는 크로스사이트 스크립트 공격에 대한 보안기능을 내장하고 있지만 유의해야 할 사항이 몇 가지 있다. Django의 “safestring(django.utils.safestring)”의 기능을 오용할 경우 Django의 크로스사이트 스크립트 보호 정책이 무력화 될 수 있다.

안전하지 않은 코드의 예

from django.shortcuts import render
from django.utils.safestring import mark_safe

def profile_link(request):
# 외부 입력값을 검증 없이 HTML 태그 생성의 인자로 사용
profile_url = request.POST.get('profile_url')
profile_name = requst.POST.get('profile_name')

object_link = '<a href="{}">{}</a>'.format(profile_url, profile_name)
# mark_safe함수는 Django의 XSS escape 정책을 따르지 않는다.
object_link = mark_safe(object_link)

return render(request, 'my_profile.html',{'object_link':object_link})

Django 프레임워크는 템플릿 생성 시 HTML에서 위험한 것으로 간주되는 특수 문자(“<”, “>”, “‘”, “””, “&”)를 모두 html 엔티티로 치환 하지만 mark_safe를 사용할 경우 이 정책을 따르지 않는다.

따라서 mark_safe 함수를 사용 할 경우에는 각별한 주의가 필요하고 신뢰할 수 없는 데이터에 대해서는 mark_safe 함수를 사용하지 않는다.

안전한 코드의 예

from django.shortcuts import render

def profile_link(request):
# 외부 입력값을 검증 없이 HTML 태그 생성의 인자로 사용
profile_url = request.POST.get('profile_url')
profile_name = requst.POST.get('profile_name')

object_link = '<a href="{}">{}</a>'.format(profile_url, profile_name)
# 신뢰 할 수 없는 데이터에 대해서는 mark_safe 함수를 사용하지 않는다

return render(request, 'my_profile.html',{'object_link':object_link})

다음은 Django 프레임워크에서의 템플릿 예제이다. autoescape 블록을 사용 시 설정값을 off로 할 경우와 개별 변수에 대해서 safe 필터를 사용할 경우 크로스사이트 스크립트 공격에 노출될 수 있다.

안전하지 않은 코드의 예

<!doctype html>
<html>
<body>
<div class="content">
{% autoescape off %}
// autoescape off로 해당 블록내의 데이터는 XSS 공격에
// 노출될 수 있음.
{{ content }}
{% endautoescape %}
</div>
<div class="content2">
//safe 필터 사용으로 XSS 공격에 노출될 수 있음.
{{ content | safe }}
</div>
</body>
</html>

신뢰할 수 없는 입력값 또는 동적 데이터에 대해서는 autoescape 옵션 값을 on으로 하고 safe 필터를 부득이 하게 사용할 경우 추가적인 보안대책이 필요하다.

안전한 코드의 예

<!doctype html>
<html>
<body>
<div class="content">
{% autoescape on %}
// autoescape on로 해당 블록내의 데이터는 XSS 공격에
{{ content }}
{% endautoescape %}
</div>
<div class="content2">
//검증되지 않은 데이터에는 safe 필터를 사용하지 않는다.
{{ content }}
</div>
</body>
</html>

autoescape 블록을 사용할 경우 많은 주의를 기울여야 한다. autoescape 옵션값을 off로 설정한 템플릿 페이지를 include 또는 extends하는 템플릿까지 영향이 확장된다. 공통적으로 사용하는 템플릿페이지에 off로 설정할 경우 많은 템플릿 페이지가 크로스사이트 스크립트 공격에 노출될 수 있다.

다.

■ Flask에서의 예제

사용자의 요청에 포함된 값 또는 DB에 저장된 값 또는 내부의 연산을 통해서 생성된 값을 포함 한 값은 동적 웹 페이지 생성에 사용하는 경우 크로스사이트 스크립트(XSS) 공격이 발생할 가능성이 있어 위험하다. 아래 예제는 Flask 프레임워크를 사용한 안전하지 않은 예제이다.

안전하지 않은 코드의 예

from flask import Flask, request, render_template

@app.route('/search', methods=['POST'])
def search():
search_keyword = request.form.get('search_keyword')
# 사용자의 입력을 아무런 검증 또는 치환 없이 동적 웹 페이지에 사용하고 있어
# 크로스 사이트 스크립트가 발생할 수 있다
return render_template('search.html', search_keyword=search_keyword)

동적 웹 페이지 생성에 사용되는 데이터를 HTML 엔티티 코드 (Entity Code)로 치환하여 안전하게 표현하여야 한다. html.escape 메소드는 문자열의 &, < 및 > 특수문자를 HTML에서 안전한 값으로 변환한다. 옵션 값의 quote 값이 True이면 문자 (“)와 (‘)도 변환된다. <a href=”…“>에서처럼 따옴표로 구분된 HTML 어트리뷰트 값에 포함하는 문자열을 포함할 경우 사용할 수 있다.

안전한 코드의 예

import html
from flask import Flask, request, render_template

@app.route('/search', methods=['POST'])
def search():
search_keyword = request.form.get('search_keyword')

# 동적 웹 페이지 생성에 사용되는 데이터는
# HTML 엔티티코드로 치환하여 표현해야한다
escape_keyword = html.escape(search_keyword)
return render_template('search.html', search_keyword=escape_keyword)

[시큐어코딩 가이드] 오류 메시지 정보노출

아빠아이티 — Tue, 9 Aug 2022 00:10:38 +0900

■ 에러처리

에러를 처리하지 않거나, 불충분하게 처리하여 에러 정보에 중요정보(시스템 내부정보 등)가 포함될 때, 발생할 수 있는 취약점으로 에러를 부적절하게 처리하여 발생하는 보안약점이다.

오류 메시지 정보노출

■ 개요

응용프로그램이 실행환경, 사용자 등 관련 데이터에 대한 민감한 정보를 포함하는 오류 메시지를 생성하여 외부에 제공하는 경우, 공격자의 악성 행위를 도울 수 있다. 예외발생 시 예외 이름이나 트레이스백(traceback)를 출력하는 경우, 프로그램 내부 구조를 쉽게 파악할 수 있기 때문이다.

Django 프레임워크와 Flask 프레임워크는 HTTP 오류 코드가 있는 요청을 처리하기 위한 사용자 에러 페이지 핸들러를 제공한다.

■ 안전한 코딩 기법

오류 메시지는 정해진 사용자에게 유용한 최소한의 정보만 포함하도록 한다. 소스코드에서 예외 상황은 내부적으로 처리하고 사용자에게 시스템 내부 정보 등 민감한 정보를 포함하는 오류를 출력하지 않도록 미리 정의된 메시지를 제공하도록 설정한다.

Django 프레임워크에서는 urls.py에 사용자 정의 에러 페이지를 핸들러를 정의 할 수 있다.

코드예제

사용자 요청을 처리할 수 없는 경우 에러 페이지에 디버그 정보 또는 서버의 정보가 노출될 수 있다. 만일 어플리케이션을 배포 할 때 DEBUG 모드를 True로 설정 하고 배포할 경우에 아래와 같이 시스템의 주요 정보가 노출 될 수도 있다.

Django는 DEBUG 모드를 False로 배포했을 경우 아래와 같이 사용자 에러페이지를 설정하지 않을 경우에는 Django 기본 에러페이지가 보이게 된다.

안전하지 않은 코드의 예

# config/urls.py
# 별도 에러페이지를 선언하지 않아 django의 기본 에러페이지를 출력한다.

제공되는 에러 페이지 핸들러를 이용해 별도의 에러 페이지를 생성하여 사용자에게 표현하고 서버의 정보노출을 최소화 한다.

안전한 코드의 예

# config/urls.py
from django.conf.urls import handler400, handler403, handler404, handler500

# 사용자 정의 에러페이지를 지정하고
# views.py에 사용자 정의 에러페이지에 대한 코드를 구현하여 사용한다.
handler400 = "blog.views.error400"
handler403 = "blog.views.error403"
handler404 = "blog.views.error404"
handler500 = "blog.views.error500“

아래는 traceback을 사용하여 에러 스택을 표준출력으로 표시하는 예제이다.

안전하지 않은 코드의 예

import traceback

def fetch_url(url, useragent, referer=None, retries=1, dimension=False):
......
try:
response = requests.get(url, stream=True, timeout=5, headers={
'User-Agent': useragent,
'Referer': referer,
})
......
except IOError:
# 에러메시지를 통해 스택정보가 노출됨.
traceback.print_exc()
break

오류 처리 시 아래와 같이 에러 이름이나 에러 추적 정보가 노출 되지 않도록 한다.

안전한 코드의 예

import logging

def fetch_url(url, useragent, referer=None, retries=1, dimension=False):
......
try:
response = requests.get(url, stream=True, timeout=5, headers={
'User-Agent': useragent,
'Referer': referer,
})
......
except IOError:
# 에러 코드와 정보를 별도로 정의하고 최소 정보만 로깅
logger.info('ERROR-01:통신에러')
break

[시큐어코딩 가이드] Public 메소드로부터 반환된 Private 배열

아빠아이티 — Mon, 8 Aug 2022 23:24:52 +0900

■ 캡슐화

중요한 데이터 또는 기능성을 불충분하게 캡슐화하거나 잘못 사용함으로써 발생하는 보안약점으로 정보노출, 권한 문제 등이 발생할 수 있다.

Public 메소드로부터 반환된 Private 배열

■ 개요

Python은 명시적인 private 선언이 없다. 하지만 대부분의 Python 코드가 따르는 규칙으로 이름 앞에 밑줄(예:__spam)로 시작하면 Private으로 처리된다. 배열을 public으로 선언된 메소드를 통해 반환(return)하면, 그 배열의 레퍼런스가 외부에 공개되어 외부에서 배열 수정과 객체 속성변경이 가능해진다.

배열 뿐 아니라 변경 가능한(mutable) 객체에 대해 모두 발생한다.

public - attribute, method는 기본적으로 public

protect - attribute, method 앞에 _(single underscore)를 붙여서 표시 함. 실제 제약 보다는 관례적임.

private - attribute, method 앞에 __(double underscore)를 붙여서 표시 함. 파이썬은 네임 맹글링(name mangling)으로 private 멤버에 _class__member로 접근은 가능하지만 바람직하지 않음.

■ 안전한 코딩 기법

private로 선언된 배열을 public으로 선언된 메소드를 통해 반환하지 않도록 해야 한다. private 배열에 대한 복사본을 반환하도록 하고 배열의 원소에 대해서는 clone() 메소드를 통해 복사된 원소를 저장하도록 하여 private 선언된 배열과 객체 속성에 대한 의도하지 않게 수정되는 것을 방지한다.

만약 배열의 원소가 String 타입 등과 같이 변경이 되지 않는 경우에는 Private 배열의 복사본을 만들고 이를 반환하도록 작성한다.

코드예제

다음 예제는 __를 이용해서 Python의 private 배열을 생성하고 그것을 반환하는 public 메소드를 사용하고 있다. 이 경우 특정 배열 타입에 따라 외부에서 private 배열을 변조할 수 있는 문제를 내포하고 있다.

안전하지 않은 코드의 예

import copy
class UserObj():
__private_variable = []
def __init__(self):
pass

# private 배열을 리턴하는 public 메소드를 사용하는 경우 취약함
def get_private_member(self):
return self.__private_variable

아래 예제는 내부와 외부의 배열이 서로 참조되는 것을 예방하기 위해 [:]로 새로운 객체를 생성하여 값을 반환하고 있다.

안전한 코드의 예

class UserObj():
__private_variable = []
def __init__(self):
pass

# private 배열을 반환하는 경우 [:]를 사용하여 외부와 내부의
# 배열이 서로 참조되지 않도록 해야 한다
def get_private_member(self):
return self.__private_variable[:]

[시큐어코딩 가이드] 코드 삽입

아빠아이티 — Mon, 8 Aug 2022 23:20:37 +0900

■ 입력데이터 검증 및 표현

코드 삽입

■ 개요

공격자가 소프트웨어의 의도된 동작을 변경하도록 임의 코드를 삽입하여 소프트웨어가 비정상적으로 동작하도록 하는 보안 약점을 말한다. 코드 삽입은 프로그래밍 언어 자체의 기능에 한해 이뤄진다는 점에서 운영체제 명령어 삽입과 다르다.

취약한 프로그램에서 사용자의 입력 값에 코드가 포함되는 것을 허용할 경우, 공격자는 개발자가 의도하지 않은 코드를 실행하여 권한을 탈취하거나 인증 우회, 시스템 명령어 실행 등을 할 수 있다.

Python에서 코드 삽입 공격을 유발할 수 있는 함수로 eval(), exec()등의 함수가 있다. 해당 함수의 인자를 면밀히 검증하지 않는 경우 공격자가 전달한 코드를 그대로 실행할 수 있다.

■ 안전한 코딩 기법

동적코드를 실행할 수 있는 함수를 사용하지 않는다. 필요 시, 실행 가능한 동적코드를 입력 값으로 받지 않도록, 외부 입력값에 대하여 화이트리스트 방식으로 검증한다. 또는 유효한 문자만 포함하도록 동적 코드에 사용되는 사용자 입력 값을 필터링 한다.

코드예제

■ eval()함수 사용 예제

다음은 안전하지 않은 예제소스코드로 eval()을 사용하여 사용자로부터 입력받은 값을 실행하여 결과를 리턴하는 예제이다.

5라인에서 입력 받은 값을 아무런 검증 없이 10라인에서 eval()함수의 인자로 사용하고 있다. 외부 입력값을 검증 없이 사용할 경우 공격자는 Python 코드를 입력하여 라이브러리 로드 및 원격 대화형 쉘 등을 실행할 수도 있다. 만일 message에 공격자가 다음과 같은 코드를 입력 하면 20초 동안 응용프로그램이 sleep 상태에 빠질 수 있다.

예시) “compile(‘for x in range(1):\n import time\n time.sleep(20)’,’a’,’single’)”

안전하지 않은 코드의 예

from django.shortcuts import render

def route(request):
#외부로 입력받은 값을 검증 없이 사용하면 안전하지 않다.
message = request.POST.get('message', '')

# eval함수에 외부 입력값을 검증 없이 사용할 경우 Python 코드가
# 실행될 수 있어 위험하다.

ret = eval(message)
return render(request, '/success.html', {'data':ret})

다음은 안전한 코드로 변환한 예제이다. 외부 입력값에 Python 코드를 실행할 수 있는 특수 문자 등을 필터링 하여 사전에 검증하는 코드를 추가하면 코드삽입을 완화할 수 있다.

아래 코드는 4라인에서 입력 받은 외부 입력값을 10라인의 eval() 함수의 인자 값으로 사용하기 전에 9라인에서 입력 값이 영문과 숫자만으로 입력되었는지 검증 후 사용하도록 하고 있다.

안전한 코드의 예

from django.shortcuts import render

def route(request):
message = request.POST.get('message', '')

# 사용자 입력을 영문, 숫자로 제한하는 예로. 특수문자가 포함되어
# 있을 경우 에러 메시지를 리턴 한다.

if message.isalnum():
ret = eval(message)
return render(request, '/success.html', {'data':ret})
......

Python은 다양한 String Methods를 제공하고 있다. 외부 입력값에 대한 검증이 필요한 경우 적절한 메소드를 사용해야 한다. 아래는 Python에서 제공하는 String Methods중 일부 예시이다.
⦁str.isalpha() : 문자열 내의 모든 문자가 알파벳이고, 적어도 하나의 문자가 존재하는 경우 True를 반환.
⦁str.isdecimal() : 문자열 내의 모든 문자가 십진수 문자이고, 적어도 하나의 문자가 존재하는 경우 True를 반환.
⦁str.isdigit() : 문자열 내의 모든 문자가 숫자이고, 적어도 하나의 문자가 존재하는 경우 True를 반환. 십진수 문자와 호환되는 위 첨자 숫자와 같은 숫자도 포함. ex) ‘52’ 는 True를 반환.

입력 값 검증 시 외부 입력값이 특정 형식을 따라야 할 경우 정규식을 이용하여 검증을 할 수 있고, Python의 re 라이브러리를 사용하여 검증 가능하다.

예로 Email 형식의 입력만 받아야 한다면 다음과 같은 정규식으로 검증 가능하다.
ex) prog = re.compile(r'([A-Za-z0-9]+[.-_])*[A-Za-z0-9]+@[A-Za-z0-9-]+(\.[A-Z|a-z]{2,})+')

■ exec()함수 사용 예제

다음은 exec()함수를 사용한 안전하지 않은 코드 예제이다. 4라인에서 입력받은 외부 입력값을 검증 없이 9라인의 exec 함수의 인자로 사용하고 있다. 이 경우 중요 데이터 탈취 및 서버의 권한 탈취, 액세스 거부, 심지어 완전한 호스트 탈취를 유발할 수 있다.

안전하지 않은 코드의 예

from django.shortcuts import render

def request_rest_api(request):
function_name = request.POST.get('function_name', '')

# 사용자에게 전달받은 함수명을 검증하지 않고 실행
# 입력 값으로 “import plaform \n platform.system()” 등을 입력 시
# 시스템정보 노출 위험이 있다.
ret = exec('{}()'.format(function_name))

return render(request, '/success', {'data':ret})

다음은 안전한 코드로 변환한 예제이다. 우선 외부에서 입력 받는 라이브러리 명을 미리 정의한 화이트리스트에 있는 지를 확인하고 리스트에 없는 경우엔 에러 페이지를 리턴한다.

안전한 코드의 예

from django.shortcuts import render

WHITE_LIST = ['get_friends_list', 'get_address', 'get_phone_number']

def request_rest_api(request):
function_name = request.POST.get('function_name', '')

# 함수 명을 화이트리스트로 제한
if function_name in WHITE_LIST:
ret = exec('{}()'.format(function_name))
return render(request, '/success', {'data':ret})

return render(request, '/error', {'error':'허용되지 않은 함수입니다.'})

[시큐어코딩 가이드] SQL 삽입

아빠아이티 — Mon, 8 Aug 2022 23:17:59 +0900

■ 입력데이터 검증 및 표현

SQL 삽입

■ 개요

데이터베이스(DB)와 연동된 웹 응용프로그램에서 입력된 데이터에 대한 유효성 검증을 하지 않을 경우, 공격자가 입력 폼 및 URL 입력란에 SQL 문을 삽입하여 DB로부터 정보를 열람하거나 조작할 수 있는 보안취약점을 말한다.

취약한 웹 응용프로그램에서는 사용자로부터 입력된 값을 검증 없이 넘겨받아 동적쿼리(Dynamic Query)를 생성하기 때문에 개발자가 의도하지 않은 쿼리가 실행되어 정보유출에 악용될 수 있다.

Python에서는 데이터베이스에 엑세스에 사용되는 다양한 Python 모듈간의 일관성을 장려하기 위해 DB-API를 정의 하고있고 각 데이터베이스마다 별도의 DB 모듈을 이용해 데이터베이스에 엑세스하게 된다. DB-API 외에도, 파이썬에서는 Django, SQLAlchemy, Storm등의 ORM을 사용하여 데이터베이스에 엑세스할 수 있다.

Python에서 지원하는 다양한 ORM(Object Relational Mapping)을 이용하여 보다 안전하게 DB를 사용할 수 있지만 일부 복잡한 조건의 쿼리문 생성 어려움, 성능저하 등의 이유로 쿼리의 튜닝이 필요한 경우 직접 원시 SQL 실행이 필요한 경우가 있다. ORM 대신 원시 쿼리를 사용하는 경우 검증되지 않은 외부 입력값으로 인해 SQL 삽입 공격이 발생할 수 있다.

■ 안전한 코딩 기법

DB-API를 사용할 때에는 매개변수화된 쿼리(Parameterized query)를 사용하여 외부 입력값을 바인딩해서 사용하면 SQL 삽입 공격으로부터 안전하게 사용할 수 있다.

Python에서 많이 사용되는 ORM프레임워크로는 Django의 querySets, SQLAlchemy, Storm등이 있다. ORM 프레임워크는 내부적으로 사용되는 쿼리 모든 곳에서 매개변수화된 명령문을 사용하므로 SQL 삽입 공격으로부터 보호된다.

ORM 프레임워크의 원시 SQL을 사용할 경우에도 안전하게 사용하려면 외부 입력 값을 매개변수화된 쿼리문의 바인딩 변수로 사용한다.

코드예제

■ DB-API 사용 예제

다음은 MySql, PostgreSQL의 DB-API를 사용하여 입력 값을 받아서 처리 하는 안전하지 않은 코드이다. 이 경우에는 외부 입력값을 8, 9 라인에서 입력 받아 변수 name과 content_id에 할당했다. 12 ~ 15라인에서는 외부에서 입력 받은 name과 content_id값을 검증 없이 쿼리문의 인자 값으로 사용하는데 단순 문자열 결합을 통해 쿼리를 생성하고 있다.

이 경우 content_id 값으로 ‘a’ or ‘a’ = ‘a와 같은 공격 문자열을 입력하면 조건 절 content_id = ‘a’ or ‘a’ = ‘a’로 바뀌고, 그 결과 board 테이블 전체 레코드의 name 컬럼이 공격자로부터 입력 받은 name의 값으로 변경된다.

안전하지 않은 코드의 예

from django.shortcuts import render

def update_board(request):
......

with dbconn.cursor() as curs:
# 외부로부터 입력받은 값을 검증 없이 사용할 경우 안전하지 않다.
name = request.POST.get('name', '')
content_id = request.POST.get('content_id', '')

# 사용자의 검증되지 않은 입력으로 부터 동적으로 쿼리문 생성
sql_query = "update board set name='" + name + "' where content_id='“ + content_id + "'"

# 외부 입력값이 검증 없이 쿼리로 수행되어 안전하지 않다.
curs.execute(sql_query)
curs.commit()
return render(request, '/success.html')

다음은 이를 안전한 코드로 변환한 예제이다. 7, 8라인에서 입력받은 외부 입력값을 그대로 사용하지 않고, 15라인의 execute()메서드의 두 번째 인자 값으로 바인딩 해서 쿼리 문을 실행하였다.

11라인과 같이 매개변수 바인딩을 통해 execute() 함수를 호출하면 공격자가 쿼리를 변조하는 값을 삽입하더라도 해당 값이 바인딩된 매개변수의 값으로만 사용되지 때문에 안전하다.

안전한 코드의 예

from django.shortcuts import render

def update_board(request):
......

with dbconn.cursor() as curs:
name = request.POST.get('name', '')
content_id = request.POST.get('content_id', '')

# 외부 입력값으로 부터 안전한 매개변수 화된 쿼리를 생성 한다.
sql_query = 'update board set name=%s where content_id=%s'

# 사용자의 입력 값을 매개변수 화된 쿼리에 바인딩 하여 실행되므로
# 안전하다.

curs.execute(sql_query, (name, content_id))
curs.commit()
return render(request, '/success.html')

■ ORM 사용 예제

안전하지 않은 코드의 예

안전한 코드의 예

시큐어코딩 가이드(시큐어 코딩의 필요성)

아빠아이티 — Mon, 8 Aug 2022 22:28:53 +0900

공격자의 초점이 지속적으로 애플리케이션 계층을 향해 이동함에 따라 소프트웨어 자원보호가 중요해졌다. 최근 발생되는 인터넷상 공격시도의 약 75%는 소프트웨어보안취약점을 악용하는 것으로, 특히 외부에 공개되어 불특정다수를 대상으로 사용자 정보를 처리하는 웹 애플리케이션의 취약점으로 인해 중요정보가 유출되는 침해사고가 빈번하게 발생되고 있다.

보안강화를 위해 구축해놓은 침입차단시스템과 같은 보안장비로 응용프로그램 취약점에 대한 공격을 완벽히 방어하는 것은 불가능하다. 소프트웨어의 개발보안 미적용으로 제품 출시 때 수정 시 설계 단계보다 30배, 구현 단계 보다 20배가 넘는 수정비용이 필요 한 걸로 조사되었다.

국내의 경우, 2009년부터 전자정부서비스 개발단계에서 소프트웨어 보안약점을 진단하여 제거하는 소프트웨어 개발 보안(시큐어코딩) 관련 연구를 진행하면서, 2012년까지 전자정부지원사업 등을 대상으로 소프트웨어 보안약점 시범진단을 수행하였다.

이러한 소프트웨어 보안약점 제거·조치 성과에 따라 2012년 6월에 행정안전부 ‘정보시스템 구축·운영 지침’이 개정·고시됨으로써 전자정부서비스 개발 시 적용토록 의무화 되었다. 2019년 6월에는 소프트웨어 개발 보안의 법적 근거를 담은 소프트웨어진흥법 개정안이 발의되었고 2020년 12월 10일에 시행됨에 따라 민간분야에서의 소프트웨어 개발보안 영역이 확대되었다.

Python

■ 파이썬 시큐어코딩

프로그래밍 언어의 종류가 다양해짐에 따라 민간에서 타 언어에 대한 시큐어코딩 가이드에 대한 수요가 늘어났다. 이에 민간에서 가장 많이 활용되고 있는 언어 중 선호도가 가장 높은 Python 언어에 대한 시큐어코딩 가이드를 소개하고자 한다.

Python은 1991년에 발표된 고급언어로 플랫폼에 독립적이며 인터프리터식, 객체지향적, 동적 타이핑(dynamically typing) 대화형 언어이다.

다양한 플랫폼에서 쓸 수 있고, 라이브러리(모듈)가 풍부하여 대학을 비롯한 여러 교육 기관, 연구 기관 및 산업계에서 이용이 증가하고 있다.

최근 웹 개발 이외에도 그래픽, 머신러닝 업계에서 선호하는 언어로 최근은 C, JAVA를 제치고 선호도 1위에 오르기도 했다.

블록체인 관련 용어 정의 - 3

아빠아이티 — Mon, 8 Aug 2022 21:50:20 +0900

블록체인 관련 용어

■ 자기 주권 신원 self-sovereign identity

기존 신원 확인 방식과 달리 분산 네트워크 기술을 활용하여 중앙 시스템에 의해 통제되지 않으며 개개인이 자신의 정보에 완전한 통제권을 갖도록 하는 기술

■ 재전송 공격 replay attack

이전에 전송된 유효한 메시지를 다시 사용하는 공격

■ 전자 서명 digital signature

서명자를 확인하고 서명자가 해당 전자 문서1)에 서명을 하였음을 나타내는데 이용하기 위하여 해당 전자 문서에 첨부되거나 논리적으로 결합된 전자적 형태의 정보. 전자 서명의 생성과 검증을 위해 각각 서명자가 가진 개인키와 해당 개인키에 대응하는 공개키를 사용함으로써, 서명자의 확인과 부인 방지가 가능하다.

■ 중간자 공격 man-in-the-middle attack

통신하고 있는 두 당사자 사이에 끼어들어 당사자들이 교환하는 통신 내용을 바꾸거나 도청하는 공격 기법

■ 최초 블록 genesis block

블록체인 시스템의 초기 상태를 기록한 블록체인의 첫 번째 블록

■ 크리덴셜 credential

신원이나 자격을 주장하면서 증거로 제출된 데이터 집합

■ 탈중앙화 애플리케이션 DApp, decentralized application

블록체인 솔루션에 참여하는 개체가 블록체인 시스템을 활용할 수 있도록 블록체인 시스템상에서 운영되는 애플리케이션

■ 트랜잭션 transaction

자산의 이동 또는 생성과 같이 블록체인에서 발생하는 이벤트의 기록

■ 하드웨어 보안 모듈 HSM, Hardware Security Module

개인키 등의 비밀 정보를 안전하게 저장, 보관할 수 있고 기기 내부에 프로세스 및 암호 연산 장치가 있어 전자 서명 키 생성, 전자 서명 생성 · 검증 등이 가능한 하드웨어 장치. 기기 내부에 저장된 전자 서명 개인키 등 비밀 정보는 장치 외부로 복사 또는 재생성되지 않으며 스마트카드, 유에스비(USB) 토큰 등 다양한 형태로 제작 및 구현이 가능하다.

■ 합의 consensus

모든 참여자가 하나의 결과에 동의하는 것

■ 합의 프로토콜 consensus protocol

모든 참여자가 합의에 도달하기 위해 약속한 규칙과 절차. 일반적으로 블록체인 기술에서는 블록체인에 추가할 블록을 결정하는 규칙과 절차를 의미한다.

■ 해시 함수 hash function

임의 길이의 메시지를 일정 길이의 출력값으로 압축하는 알고리즘. 해시 함수의 출력값을 해시값 (hash value)이라 한다.

■ 허가형 블록체인 permissioned blockchain

블록체인을 유지 관리하는 합의, 계정 관리 등의 절차에 참여하려면 사전 허가가 필요한 블록체인

■ 협정 세계시 UTC, Coordinated Universal Time

국제 협정에 따라 국제 사회가 사용하는 과학적 시간의 표준

■ DTLS Datagram Transport Layer Security

TLS를 UDP(User Datagram Protocol) 통신상에서 활용할 수 있도록 수정한 프로토콜. DTLS는 데이터 전송에 대한 신뢰성을 보장할 수 있는 전송계층 프로토콜 (예: TCP)상에서 동작하도록 설계된 보안 프로토콜인 TLS를 수정하여, 데이터 전송 신뢰성을 보장할 수 없는 UDP 통신에 대한 TLS 수준의 정보보호 서비스를 제공하기 위해 설계되었다. DTLS는 UDP의 통신 특성(데이터 누락, 순서 비보장 등)을 반영하여 TLS를 최소한의 수준으로 수정하였다.

■ TLS Transport Layer Security

TCP/IP 계층의 서버-클라이언트 통신에 대해 기밀성, 무결성, 인증과 같은 정보보호 서비스를 제공하는 프로토콜. TLS는 cipher suite와 키 교환 및 사용자 인증을 수행하는 핸드셰이크 단계 (handshake layer)와 데이터 암호화 및 메시지 인증을 수행하는 레코드 단계(record layer)로 구성된다.

■ X.509

ITU-T 표준으로 인증서 구조 명세와 인증 서비스 활용을 위한 관리 메커니즘을 제시하는 공개키 기반 구조(PKI) 프레임워크

블록체인 관련 용어 정의 - 2

아빠아이티 — Mon, 8 Aug 2022 21:48:22 +0900

블록체인 관련 용어

■ 블록체인 오라클 blockchain oracle

블록체인 시스템 외부에서 생성된 데이터를 이용하여 블록체인에 정보를 제공하는 서비스

■ 블록체인 SW 플랫폼 blockchain software platform

블록체인 노드가 블록체인 시스템에 참여할 수 있도록 제공되는 프로세스, 저장소, 통신 기능의 집합

■ 비잔틴 장애 허용 BFT, Byzantine Fault Tolerance

분산 환경에서 비잔틴 장애(단순 장애뿐만 아니라 담합, 거짓 응답 등 프로토콜의 규칙을 의도적으로 위반하는 행위)가 발생해도 정상적으로 합의를 도출할 수 있는 성질. 단, 전체 분산 개체 중 1/3 이상의 비잔틴 장애를 허용하는 프로토콜은 존재할 수 없다는 것이 증명되었다.

■ 비허가형 블록체인 permissionless blockchain

블록체인을 유지ㆍ관리하는 합의 절차에 허가 없이 누구나 참여할 수 있는 블록체인

■ 서비스 거부 공격 denial of service attack

정보 시스템에 과도한 부하를 일으켜 시스템의 데이터나 자원을 정당한
사용자가 적절한 대기 시간 내에 사용하는 것을 방해하는 공격

■ 스마트 컨트랙트 smart contract

모든 실행 결과가 블록체인에 기록되는 블록체인 시스템상의 컴퓨터 프로그램

■ 식별자 ID, Identifier

서로 다른 개체를 구별할 수 있는 정보

■ 신뢰 실행 환경 TEE, Trusted Execution Environment

독립된 보안 영역이 제공하는 안전한 실행 환경. 일반 영역과 보안 영역이 따로 분리된 프로세서에서, 보안 영역에는 생체 정보, 결제 정보, 기업 보안 문서 등의 중요한 정보가 저장된다. 일반 영역과의 정보 교환이 통제되고 보안 소프트웨어가 안전하게 실행될 수 있다.

■ 신뢰 플랫폼 모듈 TPM, Trusted Platform Module

암호화된 키, 패스워드, 디지털 인증서 등을 저장하는 안전한 저장공간을 제공하는 보안 모듈

■ 암호모듈 검증제도 KCMVP, Korean Cryptographic Module Validation Program

행정기관 등 국가 · 공공기관 정보통신망에서 소통되는 자료 중 중요 정보의 보호를 위해 사용되는 암호모듈의 안전성과 구현 적합성을 검증하는 제도

■ 오프체인 off-chain

블록체인 시스템과 연관이 있지만, 블록체인 시스템 외부에 위치, 수행, 또는 운영되는 특성

■ 온라인 인증서 상태 프로토콜 OCSP, Online Certificate Status Protocol

특정 인증서의 현재(폐지) 상태를 실시간으로 인증 기관(CA, Certificate Authority)을 통해 확인하는 프로토콜

■ 온체인 on-chain

블록체인 시스템 내부에 위치, 수행, 또는 운영되는 특성

■ 완결성 finality

원장에 기록된 트랜잭션이 삭제되지 않음을 보장하는 성질. 블록체인 기술에서의 완결성은 트랜잭션의 묶음인 블록이 삭제되지 않는다는 것을 의미한다

■ 원장 ledger

완결성과 불변성이 요구되는 트랜잭션의 기록을 위한 저장소

■ 응용 프로그래밍 인터페이스 API, Application Programming Interface

응용 소프트웨어와 소프트웨어 플랫폼 사이에 존재하며, 플랫폼상에서 실행하는 애플리케이션 개발을 용이하게 하는 소프트웨어 라이브러리 집합

■ 인증 authentication

개체의 식별 정보의 유효성을 확인하거나 주어진 데이터의 출처를 확인할 수 있는 특성

■ 인증서 certificate

전자 서명을 생성하기 위하여 이용하는 전자적 정보가 해당 사용자에게 유일하게 속한다는 사실 등을 확인하고 이를 증명하는 전자적 정보

■ 인증서 폐기 목록 CRL, Certificate Revocation List

인증서를 발급한 인증 기관(CA)이 특정 공개 저장소에 관리하는 “현재” 폐지된 인증서 목록