주요정보통신기반시설 WEB-04 운영체제 명령실행

WEB-04 운영체제 명령실행

적절한 검증절차를 거치지 않은 사용자 입력 값에 의해 의도하지 않은 시스템 명령어가 실행되는 것

 

점검 및 판단 기준

- 양호 : 임의의 명령어 입력에 대한 검증이 이루어지는 경우

- 취약 : 임의의 명령어 입력에 대한 명령이 실행되는 경우

 

조치 방법

- 애플리케이션은 운영체제로부터 명령어를 직접적으로 호출하지 않도록 구현, 부득이하게 사용해야 할 경우 소스 코드나 웹 방화벽에서 특수문자, 특수 구문에 대한 검증을 할 수 있도록 조치

 

점검 방법

- 웹 애플리케이션 인수값에 시스템 명령어 전달 시 명령이 실행되는지 확인

- 애플리케이션은 운영체제로부터 명령어를 직접적으로 호출하지 않도록 구현

- 명령어를 직접 호출하는 것이 필요한 경우에는 데이터가 OS의 명령어 해석기에 전달되기 전에 입력값 검증/확인 구현

- 입력 값에 파라미터 데이터의 ( | & ; ' ) 문자에 대한 필터링 처리

 

명령어 설명

- & : 윈도우 명령어 해석기에서 첫번째 명령이 성공했을 경우만 두번째 명령어 실행

- | : 첫번째 명령어가 성공하는지에 상관없이 두번째 명령어를 실행

- ' : 쉘 해석기가 명령어를 해석하다 작은 따옴표내에 포함된 명령어를 만나면 기존 명령어를 게속 실행하기 전에 역 작은 따옴표로 둘러싸인 명령어를 먼저 실행