JAVA시큐어코딩가이드

행정자치부 지음

휴먼컬처아리랑 2015년 04월 14일 출간

작품소개

책소개

‘소프트웨어(SW) 개발보안’ 은 SW 개발과정에서 개발자의 실수, 논리적 오류 등으로 인해 SW에 내포될 수 있는 보안취약점의 원인, 즉 보안약점을 최소화 하는 한편, 사이버 보안위험에 대응할 수 있는 안전한 SW를 개발하기 위한 일련의 보안활동을 의미한다. 광의적 의미로는 SW 개발생명주기의 각 단계별로 요구되는 보안활동을 모두 포함하며, 협의적의미로는 SW 개발과정 중 소스코드 구현단계에서 보안약점을 배제하기 위한 ‘시큐어코딩(secure coding)을 의미한다‘

목차

제 1장 개요

01 제1절 배경
02 제2절 가이드 목적 및 구성
03 제2장 시큐어코딩 가이드
03 제1절 입력데이터 검증 및 표현

1. SQL 삽입3
2. 자원 삽입9
3. 크로스사이트 스크립트13
4. 운영체제 명령어 삽입18
5. 위험한 형식 파일업로드20
6. 신뢰되지 않은 URL 주소로 자동접속연결26
7. XQuery 삽입32
8. Xpath 삽입37
9. LDAP삽입43
10. 크로스사이트 요청 위조45
11. 디렉터리 경로조작47
12. HTTP 응답분할55
13. 정수 오버플로우 59
14. 보호 메커니즘을 우회 할 수 있는 입력값 변조63
15. SQL 삽입공격:JDO65
16. SQL 삽입공격: Persistence 69
17. SQL 삽입공격: mybatis Data Map 75
18. LDAP 처리78
19. 시스템 또는 구성 설정의 외부 제어81
20.크로스 사이트 스크립트 공격 취약점: DOM86
21 동적으로 생성되어 수행되는 명령어 삽입90
22. 프로세스 제어94
23. 안전하지 않은 리플렉션98
24. 무결성 점검 없는 코드 다운로드103
25. SQL 삽입공격: Hibernate존106
26. 보안결정을 신뢰할 수 없는 입력 값에 의존110

115 제 2절 보안기능
1. 적절한 인증없는 중요기능 허용115
2. 부적절한 인가120
3. 중요한 자원에 대한 잘못된 권한설정125
4. 취약한 암호화 알고리즘 사용128
5. 사용자 중요정보 평문 저장(또는 전송)133
6. 하드코드된 패스워드138
7. 충분하지 않은 키 길이 사용142
8. 적절하지 않는 난수 값사용145
9. 패스워드 평문 저장147
10. 패스워드 평문저장151
11. 취약한 패스워드 허용155
12. 사용자 하드디스크에 저장되는 쿠키를 통한 정보노출157
13. 보안속성 미적용으로 인한 쿠키노출162
14. 주석문 안에 포함된 패스워드 등 시스템 주요정보165
15. 솔트 없이 일방향 해쉬함수 사용167
16. 무결정 검사없는 고드 다운로드169
17.사이트 간 요청위조171
18. 적절하지 못한 세션만료174
19. 패스워드 관리: 힙 메모리조사176
20. 하드코드된 사용자 계정181
21. 취약한 암호화: 적절하지 못한 RSA 패딩186
22. 취약한 암호화 해쉬함수:하드코드된 솔트189
23. 패스워드 관리: 리다이렉트 시 패스워드191
24. 같은 포트번호로의 다중 연결194

작가정보

저자(글) 행정자치부

행정자치부