[SK shieldus Rookies 19기] Python 시큐어코딩 가이드 - 입력 데이터 검증 및 표현 01

[SK쉴더스 Rookies 19기] 클라우드 기반 스마트 융합보안 과정

---

01. sql injection

https://freefworry.tistory.com/112

[SK shieldus Rookies 19기] Injection 취약점 - SQL injection

https://freefworry.tistory.com/113

[SK shieldus Rookies 19기] WebGoat - String / Numeric / Blind sql injection

https://freefworry.tistory.com/114

[SK shieldus Rookies 19기] WebGoat - LAB Stage 1, 3

https://freefworry.tistory.com/115

[SK shieldus Rookies 19기] bWAPP bee.box - Sql injection

 

02. code injection

 

ex. eval(), exec()

from django.shortcuts import render
def route(request):
 # 외부에서 입력받은 값을 검증 없이 사용하면 안전하지 않다
 message = request.POST.get('message', '')
 # 외부 입력값을 검증 없이 eval 함수에 전달할 경우 의도하지 않은 코드가
 # 실행될 수 있어 위험하다
 ret = eval(message)
 return render(request, '/success.html', {'data':ret}) 

해당 코드에 “compile(‘for x in range(1):\n import time\n time.sleep(20)’,’a’,’single’)”을 삽입

 

from django.shortcuts import render
def route(request):
 message = request.POST.get('message', '')
 # 사용자 입력을 영문, 숫자로 제한하며, 만약 입력값 내에 특수문자가 포함되어
 # 있을 경우 에러 메시지를 반환 한다
 if message.isalnum():
 ret = eval(message)
 return render(request, '/success.html', {'data':ret})

 return render(request, '/error.html')

사용하지 않는게 좋지만.. 써야한다면 안전하게 수정

 

03. 경로 조작 및 자원 삽입

외부 입력값이 자원(서버의) 식별자로 사용되는 경우에, 해당 자원을 선점하거나 충돌시켜 정상적인 서비스를 방해

ex. 잘못된 경로를 전달해서 접근할 수 없는 파일을 읽어오기.. 포트를 미리 선점해서 오류나게 만들기..

 

pybo 실습

urls.py에 추가

 

views.py에 다운로드 함수 추가

 

편의를 위해서 get방식으로 사용확장자 검증 후 파일 열기

 

success.html

error.html

만들기

 

실습을 위해서 

웹 페이지에서 접근할 수 있는 파일

웹 페이지에서 접근할 수 없는 파일

 

을 각각 생성해준다

 

위에서 확장자만! 검사하고 있기 때문에 경로와 상관없이 모두 접근이 됨

 

지정된 경로의 파일만 접근 가능하게 설정해주자

파일명만 받아오게 설정

 

경로에 있는 hello.txt는 제대로 나오지만

 

userinfo는 nofound..

하지만 경로 조작을 시도해보면

접근 가능해진다..

 

경로 조작하는 경우까지 막아보자

replace해버리기

 

다시 전달해보면

경로 조작한 부분이 replace돼서 나오는 모습 

당연히 해당 경로에는 파일이 없으니 NotFound!

 

04. Cross Site Scripting (XSS)

https://freefworry.tistory.com/119

[SK shieldus Rookies 19기] 크로스 사이트 스크립트 XSS (Cross-Site Scripting)

https://freefworry.tistory.com/125

[SK shieldus Rookies 19기] bWAPP Bee.Box - Cross-Site Scripting - Reflected (GET)

https://freefworry.tistory.com/126

[SK shieldus Rookies 19기] bWAPP Bee.Box - Cross-Site Scripting - Stored (Blog)

https://freefworry.tistory.com/127

[SK shieldus Rookies 19기] Django pybo - Cross-Site Scripting (Stored)