February 2021
Beginner to intermediate
372 pages
6h 48m
Korean
Content preview from 웹 애플리케이션 보안: 정찰, 공격, 방어 세 단계로 배우는 웹 애플리케이션 보안의 모든 것
Become an O’Reilly member and get unlimited access to this title plus top books and audiobooks from O’Reilly and nearly 200 top publishers, thousands of courses curated by job role, 150+ live events each month,
O’Reilly covers everything we've got, with content to help us build a world-class technology community, upgrade the capabilities and competencies of our teams, and improve overall team performance as well as their engagement.I wanted to learn C and C++, but it didn't click for me until I picked up an O'Reilly book. When I went on the O’Reilly platform, I was astonished to find all the books there, plus live events and sandboxes so you could play around with the technology.I’ve been on the O’Reilly platform for more than eight years. I use a couple of learning platforms, but I'm on O'Reilly more than anybody else. When you're there, you start learning. I'm never disappointed.I'm always learning. So when I got on to O'Reilly, I was like a kid in a candy store. There are playlists. There are answers. There's on-demand training. It's worth its weight in gold, in terms of what it allows me to do.
213
13
장
인젝션
13.3
명령 인젝션
명령 인젝션에서
API
엔드포인트는 클라이언트로부터의 요청을 포함하는 배시 명령을 생성한
다. 악의적 사용자는
API
엔드포인트의 정상적인 작동을 방해하는 커스텀 명령을 추가한다 (그
림
13
-
3
).
CLI
예제를 소개한 이유는
13
.
2
절의 영상 변환기가 명령 인젝션을 당하기 쉽기 때문이다.
앞에서는 부적절하게 작성한
API
를 이용해 인터프리터나
CLI
가 개발자의 의도에서 벗어난 작
동을 하게끔 하는 코드 인젝션을 배웠다. 코드 인젝션보다 한술 더 떠
CLI
나 인터프리터가 아
니라
OS
를 대상으로 의도되지 않은 행위를 수행하는 명령 인젝션도 배웠다.
사용자는
HTTP
요청을 변조해서 요청에 커스텀 배시
명령을 추가한다.
API
는 변조된 배시 명령을 서버에 대해 실행한다.
배시 인터프리터는 사용자가 보낸 명령을
API
로부터
받아 실행한다.
시스템의 보안이 완전히 침해된다.
그림
13-3
명령 인젝션
이 수준의 공격이 어떤 의미를 갖는지 잠시 생각해보자.
첫째 유닉스 기반
OS
(맥이나 리눅스)에 대한 명령 (배시 ) 실행 기능에는 매우 심각한 위험이
따른다. 호스트 유닉스
OS
에 직접 액세스한다면 (서버의
95
% 이상이 유닉스 기반이다), 그리
고 우리 명령이 슈퍼유저로 실행된다면 우리가 원하는 것은 무엇이든
OS
에서 할 수 있다.
Become an O’Reilly member and get unlimited access to this title plus top books and audiobooks from O’Reilly and nearly 200 top publishers, thousands of courses curated by job role, 150+ live events each month,
and much more.
Read now
Unlock full access
More than 5,000 organizations count on O’Reilly
O’Reilly covers everything we've got, with content to help us build a world-class technology community, upgrade the capabilities and competencies of our teams, and improve overall team performance as well as their engagement.Julian F.
I wanted to learn C and C++, but it didn't click for me until I picked up an O'Reilly book. When I went on the O’Reilly platform, I was astonished to find all the books there, plus live events and sandboxes so you could play around with the technology.Addison B.
I’ve been on the O’Reilly platform for more than eight years. I use a couple of learning platforms, but I'm on O'Reilly more than anybody else. When you're there, you start learning. I'm never disappointed.Amir M.
I'm always learning. So when I got on to O'Reilly, I was like a kid in a candy store. There are playlists. There are answers. There's on-demand training. It's worth its weight in gold, in terms of what it allows me to do.