취약점 질병 매핑

lispro062015.08.19 00:57조회 수 609댓글 0

예전부터 서버, DBMS, 네트워크, WAS, 웹 어플리케이션을 사람의 신체와 매핑하는 시도를 했었다.

서버는 골격, DBMS는 두뇌, 네트워크는 혈관~~과 근육~~, WAS는 ~~호흡, 배설~~근육, ~~웹 어플리케이션~~보안시스템은 감각기관 및웹어플리케이션은 행위를 하는 부분(눈, 코, 입, 귀, 손, 발 등)으로 구분하고자 했다. 상상력과 창의력이 부족한 탓도 있지만 비난에 대한 고민이 필요해서 였는지 아직 어딘가에 숨겨져 있다.

아래는 웹 어플리케이션 취약점을 질병과 매핑한 표이다.

증상이나 파급력, 치료 가능에 따라 적어봤다.(욕을 먹거나 흥미를 느낀 사람이 의견을 주겠지. ==3)

코드	취약점명	설 명	비교
BO	버퍼 오버플로우	메모리나 버퍼의 블록 크기보다 더 많은 데이터를 넣음으로써 결함을 발생시키는 취약점	소화기계통 질환 (or 장티푸스, 볼거리, 홍역)
FS	포맷스트링	스트링을 처리하는 부분에서 메모리 공간에 접근할 수 있는 문제를 이용하는 취약점
LI	LDAP 인젝션	LDAP(Lightweight Directory Access Protocol) 쿼리를 주입함으로서 개인정보 등의 내용이 유출될 수 있는 문제를 이용하는 취약점
OC	운영체제 명령실행	웹사이트의 인터페이스를 통해 웹서버를 운영하는 운영체제 명령을 실행하는 취약점
SI	SQL인젝션	SQL문으로 해석될 수 있는 입력을 시도하여 데이터베이스에 접근할 수 있는 취약점	신경계통질환
SS	SSI인젝션	SSI(Server-side Include)는 “Last modified"와 같이 서버가 HTML 문서에 입려갛는 변수 값으로, 웹서버상에 있는 파일을 include 시키고, 명령문이 실행되게 하여 데이터에 접근할 수 있는 취약점	소화기계통 질환(설사, 구토)
XI	XPath 인젝션	조작된 XPath(XML Path Language) 쿼리를 보냄으로써 비정상적인 데이터를 쿼리해 올 수 있는 취약점	소화기계통 질환(설사, 구토)
DI	디렉토리 인덱싱	요청 파일이 존재하지 않을 때 자동적으로 디렉토리 리스트를 출력하는 취약점	관절염
IL	정보누출	웹 사이트 데이터가 노출되는 것으로 개발과정의 코멘트나 오류 메시지 등에서 중요한 정보가 노출되어 공격자에게 2차 공격을 하기 위한 중요한 정보를 제공할 수 있는 취약점	비만
CS	악성콘텐츠	웹애플리케이션에 정상적인 컨텐츠 대신에 악성 컨텐츠를 주입하여 사용자에게 악의적인 영항을 미치는 취약점	비염
XS	크로스 사이트 스크립팅	웹애플리케이션을 사용해서 다른 최종 사용자의 클라이언트에서 임의의 스크립트가 실행되는 취약점	감기
BF	약한문자열강도	사용자의 이름이나 패스워드, 신용카드 정보나 암호화 키 등을 자동으로 대입하여 여러 시행착오 후에 맞는 값이 발견되는 취약점	건망증
IA	불충분한 인증	민감한 데이터에 접근할 수 있는 곳에 취약한 인증 메커니즘으로 구현된 취약점	시각 장애
PR	취약한 패스워드 복구	취약한 패스워드 복구 메커니즘(패스워드 찾기 등)에 대해 공격자가 불법적으로 다른 사용자의 패스워드를 획득, 변경, 복구할 수 있는 취약점	탈모
CF	크로스 사이트 리퀘스트 변조(CSRF)	CSRF 공격은 로그온한 사용자 브라우저로 하여금 사용자의 세션 쿠키와 기타 인증 정보를 포함하는 위조된 HTTP 요청을 취약한 웹애플리케이션에 전송하는 취약점	폐렴
SE	세션예측	단순히 숫자가 증가하는 방법 등의 취약한 특정 세션의 식별자(ID)를 예측하여 세션을 가로챌 수 있는 취약점	수두
IN	불충분한 인가	민감한 데이터 또는 기능에 대한 접근권한 제한을 두지 않은 취약점	청각 장애
SC	불충분한 세션만료	세션의 만료 기간을 정하지 않거나, 만료일자를 너무 길게 설정하여 공격자가 만료되지 않은 세션 활용이 가능하게 되는 취약점	불면증
SF	세션고정	세션값을 고정하여 명확한 세션 식별자(ID) 값으로 사용자가 로그인하여 정의된 세션 식별자(ID)가 사용 가능하게 되는 취약점	홍역
AU	자동화공격	웹애플리케이션에 정해진 프로세스에 자동화된 공격을 수행함으로써 자동으로 수많은 프로세스가 진행되는 취약점	당뇨병
PV	프로세스 검증누락	공격자가 응용의 계획된 플로우 통제를 우회하는 것을 허가하는 취약점	면역 결핍
FU	파일업로드	파일을 업로드 할 수 있는 기능을 이용하여 시스템 명령어를 실행할 수 있는 웹 프로그램을 업로드 할 수 있는 취약점	암
FD	파일 다운로드	파일 다운로드 스크립트를 이용하여 첨부된 주요 파일을 다운로드 할 수 있는 취약점	장염
AE	관리자 페이지 노출	단순한 관리자 페이지 이름(admin, manager 등)이나 설정, 프로그램 설계상의 오류로 인해 관리자 메뉴에 직접 접근할 수 있는 취약점	고혈압
PT	경로추적	공격자에게 외부에서 디렉터리에 접근할 수 있는 것이 허가되는 문제점으로 웹 루트 디렉터리에서 외부의 파일까지 접근하고 실행할 수 있는 취약점	골다공증
PL	위치공개	예측 가능한 디렉토리나 파일명을 사용하여 해당 위치가 쉽게 노출되어 공격자가 이를 악용하여 대상에 대한 정보와 민감한 정보가 담긴 데이터에 접근이 가능하게 되는 취약점	후유증 트라우마
SN	데이터 평문전송	서버와 클라이언트간 통신 시 암호화하여 전송을 하지 않아 중요 정보 등이 평문으로 전송되는 취약점	피부병
CC	쿠키변조	적절히 보호되지 않은 쿠키를 사용하여 쿠키 인젝션 등과 같은 쿠키 값 변조를 통한 다른 사용자로의 위장 및 권한 상승 등이 가능한 취약점	후각 장애

lispro06 (비회원)

수정 삭제

댓글 달기

검색 정렬

[accept] Visualization and Structure Analysis for Efficient XML Design

[원문보기]

해외 컨퍼런스에 제출한 논문의 Acceptance가 왔다.

컨퍼런스의 수준이 어느 정도인지 모르겠지만, 상당히 축하할만한 일이다!

[수필] 2010

[원문보기]

올해 책 292권을 읽고, 자격증 1개와 공모전 1개, 특허 1개, 국제 논문 발표 1회 등의 괄목할만한 성과를 거뒀다. 그런데 과연 이게 내 인생인가 라는 물음에 결단코, yes를 할 수는 없다. 자신의 인생을 살아야하는 우리이지만, 다른 사람이 괜찮다고 말하는 인생을 살 수 밖에 없는 한 낱 '얇은 귀' 인간이 되어야만 한다.
이번 해외선교에 나의 시간과 능력 노력, 돈까지 모두 투자하면서 떠날 생각을 하니 '얻어 먹으러 갔던' 교회에 오히려 '뜯긴' 상황이 되었다. 어떻게 이런 어처구니 없는 결정을 내렸는지 알 수 없다. '스티브잡스 무한혁신의 비밀'에 좋아하는 일을 하라는 말이 또 나온다. 그걸 누가 모르는가? 현실적 상황에서 자신이 원하는 일을 하는 사람은 거의 없다. 내가 그렇게 한다고? 어림없는 소리다. 그렇게 하다가 말라죽고 말 것이다. 언젠가 선택을 해야하겠지만, 결코 모험을 하진 않을 것이다. 내 인생은 모험이 아니라 다른 사람의 인생과 별다를 것이 없는 유사품에 지나지않기 때문이다.
그럴리가 있는가? 난 계속 실패할 것이고, 언젠가는 누가 보더라도 '허허.. 돈 좀 벌었구만'이란 소리가 나올 정도의 내가 하고싶은 일을 할 것이다. 선천적으로 난 좀 특이한 것이다. '하루에 한 권 책 읽기'라는 topic으로 사업을 구상해 봐야겠다.

[수필] 언어 조기교육의 혼란

[원문보기]

일본어로 대화를 할 수 있다고 하기에, 토토로하우스 한일교류모임에 참석했다. 늦게 가서, 한국인들만 모인 임시 테이블에 앉게 되었지만, 다행이 곧 추첨에 의해 적절히 분배된 공간으로 이동할 수 있었다. 그곳엔 일본인과 한국인이 1:1 비율로 모이게 되었고, 옆의 일본인과 한국말을 비롯해 일본말로 대화를 했다. 나의 콩글리시만큼이나 코패니시가 나올 수 밖에 없었고, 어처구니 없는 대화가 오갔다. 그 후, 안쪽에 있는 프랑스인과도 전체적인 대화가 진행돼, 영어도 사용하게 되었다. 혼란의 도가니! 일본사람들도 간간히 영어를 섞어 쓰고, 외래어로 된 일본어를 사용하게 되어 일본말인지 영어인지 당체 구분할 수 없게 되었다.

교류회가 끝나고, 장소를 빨리 빠져나왔다. 머리가 너무 아프고 언어의 혼란을 겪게 되었다. 어린이들에게 언어 조기교육을 시키는 것은 한국어를 제대로 알지 못하는 상황에서 혼란을 가져올 수 밖에 없다. 한 언어를 제대로 가르치고 나서 다른 언어를 가르치는게 순서인게 분명하다. 한국어, 영어를 동시에 가르치게 되면, 어순까지 다른 상황에서 혼동을 가져올 수 밖에 없다. 한국어와 영어가 거의 학습된 상황인데도, 일본어가 들어오자 혼란을 느끼는 이 상황은 무엇인가? 그 혼란의 도가니속에서 나오느라 꽤나 힘겨웠다.

----------------------------------------------------------------------------------------------------------------------

약간 수정하고, 덧붙이자면 언어는 사고를 담는 도구이므로, 사고의 전환과 함께 언어도 전환된다고 생각한다. 따라서 사고 전환이 빠른 이들은 언어도 빨리 전환할 수 있다고 할 수 있다. 사고가 언어를 만들고 언어가 사고를 만든다는 것은 역사적, 문화적으로도 많은 증거자료가 있다. '총균쇠'에서도 문화와 언어를 다루는 부분이 있으니 여기서도 확인 할 수 있다.

[논단] 무료 메신저 서비스 제한에 대한 생각

[원문보기]

한 때, 카카오톡을 쓰며 즐거워했다. 마이피플의 등장은 스카이프와 바이버같은 무료통화 어플을 훨씬 뛰어넘는 충격을 주었다. 물론 나 같이 유사 어플과 기술을 알고 있는 이들에겐 그리 신선하지 않았을지 몰라도, 이제야 VoIP기술을 이용한 프로그램에 매력을 느낀 이들에게는 큰 감흥을 줬을지도 모른다. 카카오톡이 스마트폰 이용자의 필수 어플로 자리잡으면서 그에 대응하기 위한 네이버톡과 마이피플이 스마트폰 시장에 진출했다. 포털은 무료 메신저 시장을 점령하기 위해 파일전송이나, 음성통화 서비스로 차별화를 내세우고 있다. 이에 기존 SMS와 3G음성통화 시장에 위험을 느낀 단말기 제조업체와 통신망사업자들은 그들을 힘으로 눌러버렸다. 어플제한, 프로토콜 제한. 정말 어처구니 없는 일들이 일어나고 있다. 현재 (M)VoIP를 이용한 음성통화는 그렇게 원할하지 않다. 3G음성통화에 상대가 되지 않는다. 그런데 왜 그렇게 무식하게 차단하는가?! 물론 그동안 소비자들을 기만하며 점령해온 통신시장을 뺏기는데에 대한 아픔은 충분히 이해한다. 하지만 이렇게 다시한번 소비자들을 기만하는 짓은 자신들의 신뢰만 떨어뜨리는 정책이다. 아직 3G가 VoIP보다 훨씬 우월하다. VoIP의 질이 높아지려면 근 1년은 있어야 한다고 생각한다. 이 기간동안 통신사업자와 단말사업자들은 새로운 국면에 대처할 해결책을 찾아야 한다. 무조건 막는다고 좋은 서비스가 사장되진 않는다. 오히려 이미지만 나빠질 뿐이다. 사실 나에게 이 상황에서 시장을 되찾을 해결책을 제시하라면 많이 생각해 둔 것은 없다. 적어도 3G망의 질을 활용해, premium통신 서비스로 적절한 고객층을 사로잡는 정책을 권하고 싶다. 여지까지 잘 해오지 않았는가? 겨우(?) 메신저와 음성통화 서비스를 지닌 작은 어플리케이션 하나에 이렇게 이미지를 다 날려버릴 순 없다. 앞으로도 통신망사업자는 어떤 서비스에 그들의 고객을 다 뺏겨버릴지 모른다. 이 정도 위험에 과잉반응을 보이면 소비자들로서는 그동안 믿고 써왔던 통신에 대해 너무도 실망하고 말 것이다.

[자격] CPPF

[원문보기]

자격증은 취득하기 쉬울 때, 타이밍을 맞춰 얻어야 한다.

오랜만에 득템

[기록] 악성 트래픽 처리

[원문보기]

cafe24 가상 호스팅에서 하루에 10G 를 오르내리는 트래픽이 발생해 초과 트래픽 과금이 발생했다.

apache 로그나 각종 확인으로 조치되었다고 생각했으나, 역시 같은 현상이 발생하여, 여러 트래픽 확인 프로그램을 사용했다.

sshd에 test(UID 는 502) 계정으로 악성 트래픽이 발생하고 있어, 사용자를 지우려고 했다.

그러나 로그인 되어 있다고 나와 운영중인 프로세스를 종료시키고 트래픽을 체크하니 해당 문제로 보여진다.

몇 시간 후와 내일 다시 확인해봐야겠다.(악성 트래픽은 조치되었다)

악성 트래픽, 넌 누구냐!!?

덕분에 로그를 통한 트래픽 및 각종 트래픽 확인 프로그램들을 다뤄봤다.

nethogs : 프로세스 별로 트래픽 확인 가능(yum install nethogs)

iftop : ip 별로 트래픽 확인 가능(yum install iftop)

iftop -i eth0

아파치 로그 파일의 파일 용량을 합산하여 트래픽 확인

cat /var/log/httpd/access_log| awk '{sum += $10} END {print sum/1024000, "MB"}'

vnstat -d (일별 트래픽 확인)

[진리] 자기검열은 학습된 (사회적)지식

[원문보기]

인지능력이 향상될 수록 판단이 앞서고 판단은 이성에 의한 것이다.

이성은 오류 투성이다.

일상과 이상의 천재와 바보 차이다.

'천재와 바보 차이'는 한장. 이성적 판단자의 논리로 일반화 되어 있기 때문에 수용하면 간단하다.

일반적인 생각(학습된 판단)은 이반적인 생각과 많은 차이가 있다.

이반 -> 일반적이지 않다. 이상적이다. 이상하다.

차이다. 잘못된, 틀린, 다른과 상대적일 뿐이다.

이반은 지식으로 인한 판단이 외부적으로 평가되었을 뿐 자체적인 검열이 동작(첨부, 들어가지 않은, 오염시키지 않은)하지 않은 순수한 상태이다.

이상은 이상과 중의적인 상태이다.

이상에 사회성이 들어가면 오류가 되고, 사회성이 결여되면(오염시키지 않으면) ideal;different 이다.

이상(ideal)적인 것을 찾는 다는 것은 이상(different)적을 것을 찾는 것과 같다.

디퍼런터를 인정하지 않는 것은 아이디얼도 인정하지 않는 것이다.

잘못된 것이다. 아니, 올바르지 않은 것이다. 기존(안정적인 것)을 유지하려는 보수이다.

자기검열이 생기기 시작하면 이상(ideal)과 이상(different)을 모두 추구할 수 없다.

끝...

새로운 것을 찾지 않는 다는 것은 사망이다.

암(cancer)은 이상(different)에 가까운 것으로 평가(90% 동의)되지만 이상(ideal)일 수도 있다.

적응기제가 동작하여 새로운 상황에의 적응인 가능성도 있다는 것이다.

하지만, 기존 체계에 반항하는 것이므로 또, 너무 앞서 갔을 때의 도태도 함의하고 있어 사멸(일단 정지, 보류)하는 것이다.

이상(different)이 많은 사회일 수록 발전성이 높다.

그러나 이상(ideal)이란 프레임으로 가둬서 기득권을 유지하고 통제 함으로써 지배하는 사회에 있는 이상(different와 divergent는 당분간 숨죽이고 있는 게 좋다.

지금은 different에서 ideal로 가기 위한 과도기이며 common sense, general 밑에 숨죽이고 있어야 할 기간이 너무도 길다.

자기검열로 인해 창의력이 저하되는 환경이 너무도 안타깝다.

die = yesterday(old) = general = 일반 <> 이반(이상) = different ; ideal => future = live

보수는 죽음이고 진보는 삶이지만, 보수와 진보는 시점이 다르다.

미래에 살 사람은 진보로 가야한다.

과거에 살 것은 아니지 않은가?(연속성 결여는 내 뜻이 아니다. 전달해야할 내용이 너무 많다. t.t)

[visual c] precompiled header error 처리

[원문보기]

Visual Studio 2010 beta 2를 설치했는데, C를 위한 프로젝트 생성 메뉴가 없어서 C++로 생성했다.

Error 1 error C1859: 'Debugtest3.pch' unexpected precompiled header error, simply rerunning the compiler might fix this problem c:userskistidocumentsvisual studio 2010projectstest3test3test3.cpp 4 1 test3

위와 같은 error가 발생하면, Project의 properties에서 C/C++ Precompiled Headers 옵션을 Not Using Precompiled Headers로 바꿔준다.

역시 C는 잘 지원되긴 하지만, 뭔가 걸리적 거리는 설정이 있다. MS 녀석들... ㅋㅋ

[수상] 자랑스런 IT인상

[원문보기]

상금이 인상된 건지, 석사라서 많이 준 건지는 몰라도. 지난 해보다 두배다!

[졸업] 공학석사

[원문보기]

2009년 석사학위과정을 시작해 6편과 자격증 2개를 실적으로 학위를 취득하였다.

물론 특허나 수상 실적은 학위과정과 관련이 없지만 연구실에서 작업한 거라, 직무실적이라 해야하나?

암튼 무사히 학위를 마쳤다.

소속이 없는 자유인이 되었다.

검색 정렬