티스토리

JiGyeong's study room

검색하기

블로그 홈

JiGyeong's study room

javannspring.tistory.com/m

JiGyeong 님의 블로그입니다.

구독자: 3

방명록 방문하기

주요 글 목록

[Secure] 침입탐지 시스템 IDS IDS (Intrusion Detection System) "침입탐지시스템" * 방화벽이 내부망 보안을 수행하는데 있어 그 적용의 한계가 드러나 이를 보완 해줄 시스템* 침입의 패턴 데이터베이스와 Expert System을 사용해 네트워크나 시스템의 사용을 실시간 모니터링 하고 침입을 탐지하는 역할* IDS는 허가되지 않은 사용자로부터 접속, 정보조작, 오용, 남용 등 컴퓨터 시스템 또는 네트워크 상에서 시도됐거나 진행중인 불법 적인 예방에 실패한 경우 취할 수 있는 방법으로 의심스러운 행위를 감시하여 가능한 침입자를 조기에 발견하고 실시간 처리를 목적으로 하는 시스템* IDS는 여러개의 컴포넌트들로 구성된다.센서는 보안 이벤트를 발생시키며, 콘솔은 이벤트를 모니터하고 센서를 제어하거나 경계시키며(ale.. 공감수 0 댓글수 0 2017. 7. 3.
[Clean Coding] JUnit 프로젝트의 Build Path에서 JUnit Library를 추가해준다. 그후 Junit Test Case java파일을 하나 만들어준다.이제 ArticleController를 테스트해보자 저음 java 파일을 만들면 아래와 같이 생성된다. 테스트는 test 어노테이션이 붙은 단위만 테스트가 실행된다. 안된다면 pom.xml에서 spring-test 를 추가해준다. 123456789101112131415161718192021222324252627package com.ktds.jgbaek.article.web; import static org.junit.Assert.*; import org.junit.Test;import org.junit.runner.RunWith;import org.springframe.. 공감수 0 댓글수 0 2016. 4. 29.
[Clean Coding] 주의깊은 코드 SOLID jUnit : 단위 테스트 툴 비야네 스트롭스토룹 (C++ 창시자)- 논리가 간단해야 하며, 효율적이어야 한다.- 의존성을 최대한 줄여야 한다.- 깨끗한 코드는 한 가지 만을 제대로 한다. 그래디 부치- 깨끗한 코드는 단순하고 직접적이다.- 잘 쓴 문장처럼 잘 읽힌다. (가독성)- 설계자의 의도를 그대로 나타낸다.- 명쾌한 추상화와 단순한 제어문으로 가득하다. 데이브 토마스- 깨끗한 코드는 작성자가 아닌 사람도 읽고 고치기 쉽다.- 단위 테스트와 인수테스트가 존재한다.- 의미있는 이름을 사용한다. 마이클 페더스- 깨끗한 코드는 주의깊게 짰다는 느낌을 준다.- 고칠 부분이 없다. [ SOLID ] SRP : Single Responsibility Principle하나의 클래스는 하나의 기능만 수행해야 한다.. 공감수 0 댓글수 0 2016. 4. 29.
[Secure Coding] 비밀번호 암호화 하기 SHA-256 와 SHA-512 와 RSA방식을 가장 많이 쓴다.MDS는 나온지 너무 오래되서 취약하다. 뽐뿌가 이거쓰다가 털렸다. SHA-256을 실습해보자 1. USERS 테이블에 SALT 컬럼을 추가해보자2. 회원 비밀번호를 SALT를 사용한 SHA-256으로 암호화 하자SHA-256은 64 자리 문자열이 출력된다. sha256은 hash 함수의 일종이다hash 함수라는게 뭐냐면 다 알고 있겠지만 간단히 설명해보겠다 y = x + 2 이런 함수는 y를 알면 x도 알 수 있다하지만 y = hash(x) 이런 해쉬 함수는 y를 알아도 x를 알 수 없는게 특징이다그리고 모든 x값에 대해 각기 다른 y값을 내뱉는 특징 때문에 x가 원본임을 증명하는 일종의 시그니쳐로도 사용할 수 있다(정확하게 말하자면 ha.. 공감수 6 댓글수 4 2016. 4. 28.
[Secure Coding] 해킹방지 코드짜기 12345678910111213@RequestMapping("/attack/encoding/method1") public String encodingMethod1(HttpServletRequest request, HttpServletResponse response) { String textData = request.getParameter("text"); System.out.println("Encoding 전 : " + textData); // URLDecoder 를 이용한 Encoding textData = URLDecoder.decode(textData); System.out.println("Encoding 후 : " + textData); return "attack/encoding/encoding";.. 공감수 0 댓글수 0 2016. 4. 27.
[Secure Coding] Paros 64비트에서 실행 Paros : Proxy tool 웹 요청을 처리할 때 임시 저장소를 거쳐서 데이터를 가져오는 요청 및 응답의 중개자 접속이 안되게 막는 경우 -> proxy서버에서 막는다.사용자가 보낸 요청을 중간에 바꿔서 보내는 등 악성코드를 집어넣고 요청을 바꾸는 해킹을 할 수 있다. http://sourceforge.net/projects/paros 에서 paros를 다운받는다.32비트에서만 작동하므로 64비트 컴퓨터에서는 32비트용 jdk를 다운받아 실행시키면 된다.paros를 오른쪽클릭해서 속성에 들어간 다음 대상에 "C:\Program Files (x86)\Java\jdk1.8.0_73\bin\javaw.exe" -jar paros.jar 를 넣어준다. 그러면 64비트에서도 실행될 수 있다.만약 바로 실행되.. 공감수 0 댓글수 4 2016. 4. 27.
[Secure Coding] 예시 보기 CWE CVE CWE/SANS TOP 25 CWE : 일반적이 니취약점의 분류체계CVE : 발견된 보안 취약점의 히스토리각종 소프트웨어의 취약한 부분이 신규로 발견되었을 떄 등록됨 http://cwe.mitre.org/에 들어간다 CWE-89 를 검색해보자 SQL Injection에 관한 설명을 볼수 있다. 이런 코드를 짜게 된다면 해킹당할 수 있다는 것을 알려준다. CWE/SANS TOP 25CWE중에서 가장 위험한 25개 모아놓은 곳 공감수 0 댓글수 0 2016. 4. 26.
[Secure Coding] 보안 개발 방법론 OWASP CLASP 모든 개발자에게 보안 교육을 진행한다.청소하는 아주머니들께도 파기 관련 교육을 진행한다. OWASP는 5개의 검증을 제공한다.* 개념검증* 역할 기반 검증* 활동평가 검증* 활동 구현 검증* 취약성 검증 Microsoft SDL - 위협 모델링 작업 수행 하자 - STRIDE 위협 유형 기준으로 분류 신분 위장 (Supooping identity)데이터 변조 (Tampering with data)부인 ( Requdiation ) 사용자가 자신이 수행한 특정 액션이나 트랜잭션을 부인 - operation history를 남겨 방지한다.정보유출 (Information Disclosure)서비스 거부 (Denial of Serice Dos)권한 상승 (Elevation of Privile.. 공감수 0 댓글수 0 2016. 4. 26.
[Secure Coding] 보안 이론 DDos : Distributed Denial of Service * 해킹 방식의 하나로서 여러 대의 공격자를 분산 배치하여 동시에 '서비스 거부 공격(Denial of Service attack；DoS)'을 함으로써시스템이 더 이상 정상적 서비스를 제공할 수 없도록 만드는 것을 말한다. * 웹페이지가 사용자 거부 -> 서버 다운대부분의 해킹은 서버에서 이루어진다. Spring의 DI 뜻은 Dependendy Injection ( 의존성 주입 ) SQL injection : SQL 주입 공격Drop all Table 등 웹 클라이언트의 반환 메시지를 이용하여 불법 인증 및 정보를 유출하는 공격. 웹 응용 프로그램에 강제로 구조화 조회 언어(SQL) 구문을 삽입하여 내부 데이터베이스(DB) 서버의 데이터를.. 공감수 0 댓글수 0 2016. 4. 26.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.