[shell] 셸 보안과 시큐어 코딩

22 Dec 2023

셸 보안

셸(Shell)은 운영 체제와 사용자 사이의 인터페이스를 제공하는 프로그램이다. 셸 스크립트를 사용할 때 보안에 주의해야 한다. 주요 보안 취약점과 방어 방법을 알아보자.

셸 스크립트 삽입 공격(Shell Injection)은 사용자 입력을 셸 명령어의 일부로 취급하여 악의적 명령어를 실행시키는 공격이다. 이를 방지하려면 사용자 입력을 신뢰할 수 없는 것으로 처리하고, 필요에 따라 필터링 해야 한다.

예시:

user_input = input("Enter your name: ")
os.system("echo Hello, " + user_input)

디렉토리 탐색 공격(Directory Traversal)은 사용자 입력을 통해 디렉토리 경로를 탐색하여 시스템 파일에 접속하는 공격이다. 이를 방지하기 위해 사용자 입력을 정규화하고, 절대 경로를 사용해야 한다.

예시:

path = "/var/www/" + user_input + "/index.html"

환경 변수 오버라이딩(Environment Variable Overriding)은 악의적으로 변경된 환경 변수로 셸을 실행하여 보안에 문제를 발생시키는 공격이다. 이를 막기 위해 셸 스크립트에서는 환경 변수를 사용하기 전에 검증해야 한다.

셸 코드를 작성할 때, 시큐어 코딩(secure coding) 원칙을 준수해야 한다. 이를 통해 보안 취약점으로부터 안전한 코드를 작성할 수 있다.

정규화된 경로를 사용하고, 사용자 입력을 신뢰할 수 없는 것으로 처리하며, 환경 변수를 신뢰하지 않는 것과 같이 보안 원칙을 따라야 한다. 또한, 시스템 명령어 실행을 최소화해야 하며, 필요한 경우에는 필터링을 통해 안전하게 사용해야 한다.

시큐어 코딩을 하더라도 보안 취약점이 남아 있을 수 있다. 정적 분석 툴을 사용하여 코드를 검사하고, 보안 취약점 검사를 통해 보안 상태를 확인해야 한다.

셸 보안과 시큐어 코딩은 중요한 주제이며, 개발자는 이를 숙지하고 안전한 코드를 작성해야 한다. 이러한 노력은 보안 문제를 최소화하고 시스템의 안전성을 유지하는 데 도움이 된다.