반응형

EVERYTHING 97

잘못된 캡슐화

1. 잘 못 사용되고 있는 캡슐화 클래스의 멤버변수로 자리잡고 있는 아래 두가지에 대해서는 getter/setter 의 내용을 변경해야 한다. 배열 Class 위 두 타입은 모두 "메모리 주소" 를 저장하고 있으므로, 일반적인 방법으로 캡슐화 하면 외부에서 값의 변경이 가능하다. 따라서 아래와 같이 변경되어야 한다. 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 // 배열 public String[] getColors() { String[] newColor = new String[colors.length]; System.arraycopy(colors, 0, newColor, 0, colors.length); return newColor; } publ..

IT/Secure Coding 2015.04.24

잘못된 접근 제한(사용자의 행동 기록)

사용자의 행동 기록 1. 사용자가 메뉴를 사용할 때 모든 행위는 기록되어야 한다. 아이디 시간 접근한 IP 접근한 Menu 실행한 Action(CRUD) 2. 권한이 없는 사용자는 그 메뉴자체를 보여주지 않아야 한다. 삭제에 대한 권한이 없는 사용자에게 삭제 버튼을 보여주어서는 안된다. URL을 통한 접근을 시도할 때, 현재 요청자가 그 기능에 대한 권한이 있는지 체크하고 없다면 서비스를 거부해야한다. 1. 사용자의 행동을 Console창에 log로 보여주기(실무에서는 DB에 저장 함). ActionHistoryInterceptor class 생성 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 3..

IT/Secure Coding 2015.04.24

로그인 제한

로그인 시도 횟수 제한 사용자가 로그인을 계속해서 시도할 경우 아래 두 가지 중 하나를 해야 한다. - 사용자가 비밀번호를 잊어버릴 수 있으므로 비밀번호를 찾도록 가이드 한다. - Bot에 의한 자동화된 해킹 시도일 수 있으므로 자동적인 로그인을 차단한다. 로그인 시도는 Log 혹은 DB에 기록되어야만 한다. 1. DB 에 Login Count 컬럼 추가 2. MemberController에 추가 1 2 3 4 5 6 7 8 9 10 11 @RequestMapping(value=("/member/login"), method=RequestMethod.POST ) public void login(LoginVO loginVO, HttpSession session, HttpServletResponse respo..

IT/Secure Coding 2015.04.24

Open Redirect

중간에 URL을 catch해서 자신이 원하는 url로 값을 변경할 수 있다. 이를 막기 위한 방법 whiteList를 이용해서 url을 숨겨준다. OpenRedirectController 수정 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 package kr.co.hucloud.security.code.example.attack.openredirect; import java.util.HashMap; import java.util.Map; import javax.servlet.htt..

IT/Secure Coding 2015.04.23

Encrypt Password

사용자의 비밀번호는 모두 강력한 암호화 기법을 사용해 암호화 해야한다. 일반적인 방법으로 단방향 암호화 기법인 MD5를 사용하는데, 이 알고리즘은 출현한지 오래되어 이미 해킹이 가능한 수준이 되어 더 이상 안전한 방법이 아니다. 일반적으로 AES / SHA / DES를 많이 사용하는데 DES 알고리즘은 AES 알고리즘이 출현한 이후 더이상 사용하지 않는다. 그런데, 위 AES / SHA / DES 는 메시지 인증 및 무결성 체크를 위한 알고리즘이지, 패스워드 암호화를 위한 알고리즘이 아니다. 따라서, 이 알고리즘들을 패스워드 암호화에 사용한다면 "복호화"가 가능하다는 취약점이 있다. 원래 위 3개 알고리즘은 "단방향"의 복호화가 불가능한 암호화 알고리즘이지만, 이미 많은 해커들이 "복호화"를 시도했고, ..

IT/Secure Coding 2015.04.23

XSS

XSS - 쿠키 정보를 빼내서 좀비 피시로 만드는 것 - 공격자가 악의적인 의도로 script(자바 스크립트)를 작성해서 정보를 빼내는것 쿠키 - 사용자 정보를 클라이언트 pc에 저장해 놓는것 (ex. 자동 로그인) 1. Reflective XSS 공격자가 악성 스크립트가 포함된 URL을 클라이언트에게 노출시켜 클릭하도록 유도하여, 쿠키 정보를 탈취하거나 피싱 사이트, 불법 광고 사이트로 이동하게 한다. 2. Stored XSS 악성 스크립트를 DB에 저장하여 해당 DB 정보를 이용하는 애플리케이션을 통해, 시스템을 사용하는 모든 사용자들이 해당 스크립트를 실행하게 함으로써 사용자의 쿠키 정보를 탈취하거나 피싱사이트, 불법 광고 사이트로 이동하게 한다. 3. DOM XSS DOM(Document Obje..

IT/Secure Coding 2015.04.23

Toad for Oracle 설치 및 설정

왜 sql development 사용 안하고 Toad 쓰냐?- 편리한 기능, 가볍다 그리고 가볍고 또 가볍고 편리하다..... 1. http://www.toadworld.com/m/freeware/default.aspx?Redirected=true 접속 -> 해당 OS에 맞는 TOAD Download 2. install 3. accept -> Next 4. Next 5. Install 6. 설치 완료 -> 실행 -> 상업용 쓰고 싶으면~~~ 어쩌고 저쩌고 그냥 닥 Ok 7. 기존 Sql Development에서 사용했던 hr 또는 system 계정으로 로그인 8. 본인은 system계정으로 로그인 -> 쿼리 실행 -> 문제 없음 -> 설치 완료!

IT/SQL 2015.04.23

Oracle SQL Developer 4.0.3 설치 및 hr 계정 설정

1. http://www.oracle.com/technetwork/developer-tools/sql-developer/downloads/index.html 접속 2. OS에 맞는 Sql Developer download 3. sqldeveloper.exe 실행 4. 설치 된 JAVA / JDK 폴더 선택 5. YES 6. NO 7. 설치 완료 8. HR 계정 설정을 위해 시작 -> Run SQL Command Line 실행 9. 아래와 같이 설정SQL> connectEnter user-name: systemEnter passwordk : Oracle Database 11g Express Edition 설치시 설정했던 비밀번호SQL> alter user hr account unlock; (hr 계정 설정..

IT/SQL 2015.04.22
반응형