Without a Break

권한있는 프로그램의 필요성 리눅스 환경 /etc/shadow에 password 저장 사용자가 자신의 비밀번호를 수정하고자 할 때 Owner만 쓸 수 있음 일반 사용자의 비밀번호 변경을 허용하는 법 ① 패스워드의 변경을 위해서 shadow 파일에 대한 변경 필요 ② 일반 사용자는 shadow 파일을 변경하지 못함 ③ 운영체제가 세밀한 접근통제를 수행하도록 하는 방법 현재는 파일 단위로 접근 통제를 수행 파일 내의 특정 영역까지 접근 통제 규칙을 적용 Set-UID 매커니즘 shadow 파일의 구성 Username Password Last password change Minimum maximum Warn Inactive Expire Demon을 통한 통제 : root 권한을 갖는 소프트웨어에 일을 요청 Se..

쉘코드 ① 공격자 입장에서는 무한한 가능성 => 모든걸 다 알 수 있기 때문 ② Set-UID까지 추가되면 특정 시스템에 대해 신같은 존재 => 원하는 걸 다 할 수 있기 때문 Stack 변수들의 악용 지역 변수들은 스택에 연속하여 위치 => 만일 특정 변수의 크기를 넘어서는 값이 쓰여지면 다른 영역에 corruption(변질) 발생 가능 *다른 영역의 예시 ① 다른 지역 변수 ② 이전 함수의 EIP ③ 리턴 주소 ④ Arguments 값 ⑤ 다른 함수의 영역 지역변수의 corruption 지역변수를 오염시키는 상황의 난해함 변수의 위치가 알려지지 않음 효과가 응용코드의 동작에 의존적 => 좀 더 예측가능하고 보편적인 공격을 위해서는 스택 프레임의 고정된 정보를 corrupt시키는 것이 좋음 (Frame..

DevOps : 응용 프로그램을 빠르게/높은 품질로 제공하기 위한 체계 및 기술을 통칭 full lifecycle investment team undertaking better sw development & delivery pracitces acclerates the last mile of continuous delivery 필요성 사용자의 요구가 빠르게 반영되기를 원함 높은 품질의 소프트웨어에 대한 요구가 높아짐 개발 프로세스 with Security DevSecOps의 추가 요구사항 Threat Model Secure Coding : Rule Book Security as Code : Stack guard SAST(Static Analysis Security Test) : Code (정적 분석) DA..

실무와 이론의 차이점 실무 - 안전하게 프로그래밍 하기, 보안 이슈 진단 - 언어사용의 실수, API 내의 문제, 암호기술 및 통신 방법 - 매우 실무적이고 자세히 기술해야 하는 문제 이론 - 프로그램 실행중단의 이유와 이의 해결 방법의 이해 - 자동화 도구를 포함한 최신 기술의 이해 - 개념과 방법론 소프트웨어 보안의 일반적인 요소들 위협 (Threats) 취약점 (Vulnerabilities) 방어기법 (Defenses) 절차 (Processes) 최신 기술의 이해 위협 공격자가 원하고 할 수 있는 것 악성코드의 종류 : malware, spyware, worm 어떻게 악성코드의 감염이 발생하나? : user가 무언가를 클릭하거나 무언가를 실행하려고 하면 발생 취약점과 약점의 분류가 필요 취약점과 약..