입력 데이터 검증 및 표현 - 경로 조작 및 자원 삽입 [개념] 시스템 자원 접근경로 또는 자원제어 명령어에 검증되지 않은 외부 입력값을 허용하여 시스템 자원에 무단 접근 및 악의적인 행위가 가능한 보안약점 [공격 사례] - 경로조작 및 자원삽입 - 입력값을 조작하여 허가되지 않은 명령 실행 [설계 시 고려사항] 1. 외부입력값을 이용하여 시스템자원(IP, PORT번호, 프로세스, 메모리, 파일 등)을 식별하는 경우 허가되지 않은 자원이 사용되지 않도록 해야 한다. 2. 서버프로그램 안에서 셸을 생성하여 명령어를 실행해야 하는 경우 외부입력값에 의해 악의적인 명령어가 실행되지 않도록 해야 한다. [보안대책] 외부의 입력을 자원(파일, 소켓의 포트 등)의 식별자로 사용하는 경우, 적절한 검증을 거치도록 하..

부적절한 자원 해제란? 프로그램의 자원, 예를 들면 열린 파일 디스크립터(Open File Descripter), *힙 메모리(Heap Memory), 소켓(Socker) 등은 유한한 자원이다. 이러한 자원을 할당받아 사용한 후, 더 이상 사용하지 않는 경우에는 적절히 반환하여야 하는데, 프로그램 오류 또는 에러로 사용이 끝난 자원을 반환하지 못하는 경우 *힙 메모리(Heap Memory): 소프트웨어가 자유롭게 사용할 수 있는 메모리 공간. 안전하지 않은 이유 힙 메모리, 소켓 등의 유한한 시스템 자원이 계속 점유하고 있으면 자원 부족으로 인해 새로운 입력을 처리하지 못할 수 있음 보안대책 자원을 획득하여 사용한 다음에는 반드시 자원을 해제하여 반환 즉, 해결방법은 프로그램 내에 제어문, 예외처리문 등..