주요정보통신기반시설 WEB-01 버퍼 오버플로우

WEB-01 버퍼 오버플로우

정수형 변수 값이 허용되는 범위보다 크거나 작게 대입되어 문제를 일으키는 웹 취약점

// JAVA에서 허용하는 숫자 값의 범위
{
    System.out.println(Integer.MIN_VALUE);  // -2147483648
    System.out.println(Integer.MAX_VALUE);  // 2147483647
}

점검 및 판단 기준

- 양호 : 파라미터 입력 값에 대량의 인수 값 전달 시 에러 페이지나 오류가 발생되지 않는 경우

- 취약 : 파라미터 입력 값에 대한 검증이 이루어지지 않고 에러 페이지나 오류가 발생하는 경우

 

점검 방법

- 웹 어플리케이션에 많은 인수 값 전달

https://hostname.com/login.asp?id=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx 

- 게시물 작성 시 허용된 문자보다 많은 문자열 입력

- 사이트 검색란에 많은 문자열 전달

 

조치 방법

- 웹 서버의 제품 버전을 안전한 버전으로 유지 , 보안 패치를 항상 최신으로 유지

- 자체 제작한 어플리케이션의 경우 HTTP 요청을 통해 입력을 받아들이는 코드 검토

- 웹 어플리케이션에 전달되는 인수 값을 필요한 크기 만큼만 수용

- 버퍼를 점검하는 안전한 함수 사용