주요정보통신기반시설 WEB-02 포맷 스트링

WEB-02 포맷 스트링

외부로부터 입력된 값을 검증하지 않고, 입출력 함수의 형식( 포맷 스트링 )을 그대로 사용하는 경우에 발생되는 문제

 

점검 및 판단 기준

- 양호 : 임의의 문자열 입력에 대한 검증이 이루어지는 경우

- 취약 : 임의의 문자열 입력에 대한 검증이 이루어지지 않으며, 오류가 발생하는 경우

 

조치 방법

- 웹 서버 응용 프로그램을 최신버전으로 패치하고 임의의 문자열 입력에 대한 검증 로직 구현

 

점검 방법 

- 웹 사이트 인수 값에 아래와 같은 패턴을 입력 후 전송하여 반환된 페이지가 다른 인수값을 입력했을 때는 발생하지 않는 에러 반응이나 멈추는 등 이상반응을 보이는지 확인

패턴 1 - %n%n%n%n%n%n%n%n%n%n
패턴 2 - %s%s%s%s%s%s%s%s%s%s
패턴 3 - %1!n!%2!n!%3!n!%4!n!%5!n!%6!n!%7!n!%8!n!%9!n!%10!n!
패턴 4 - %1!s!%2!s!%3!s!%4!s!%5!s!%6!s!%7!s!%8!s!%9!s!%10!s!

 

보안 설정 방법

- 컴파일러에서는 문자열 입력 포맷에 자체적인 검사를 내장하고 있으므로 문자열 입력 포맷 검증 후 소스코드에 적용

- 웹 서버 응용프로그램의 최신 보안 패치 적용

- 웹 사이트 인수 값 처리 중에 발생할 경우 사용자가 입력하는 인수 값의 유효성에 대한 검증 로직을 구현