시큐어 코딩 가이드 on LaMelD

1. 입력 데이터 검증 및 표현

Thu, 17 Sep 2026 00:00:00 +0000

1.1. SQL 삽입

정의

데이터 베이스와 연동된 웹 어플리케이션에서 입력한 데이터에 대한 유효성 검증을 하지 않을 경우, 공격자가 입력 폼 및 URL 입력란에 SQL 문을 삽입하여 DB로부터 정보를 열람하거나 조작할 수 있는 보안 취약점을 말한다.

2. 보안 기능

Thu, 17 Sep 2026 00:00:00 +0000

2.1. 적절한 인증 없는 중요 기능 허용

정의

적절한 인증과정이 없이 중요정보(계좌이체 정보, 개인정보 등)를 열람(또는 변경)할 때 발생하는 보안 약점

3. 시간 및 상태

Thu, 17 Sep 2026 00:00:00 +0000

3.1. 경쟁조건: 검사 시점과 사용 시점(TOCTOU)

정의

병렬 시스템에서는 자원(파일, 소켓 등)을 사용하기에 앞서 자원의 상태를 검사한다. 하지만, 자원을 사용하는 시점과 검사하는 시점이 다르기 때문에, 검사하는 시점(Time Of Check)에 존재하던 자원이 사용하던 시점(Time of Use)에 사라지는 등 자원의 상태가 변하는 경우가 발생한다.

4. 에러 처리

Thu, 17 Sep 2026 00:00:00 +0000

4.1. 오류 메시지 정보 노출

정의

응용프로그램이 실행환경, 사용자 등 관련 데이터 또는 시스템의 내부데이터 등 민감한 정보를 포함하는 오류 메시지를 생성하여 외부에 제공하는 경우, 공격자의 악성행위를 도울 수 있다.

5. 코드 오류

Thu, 17 Sep 2026 00:00:00 +0000

5.1. Null Pointer 역참조

정의

널 포인터 역참조는 ‘일반적으로 그 객체가 NULL이 될 수 없다’라고 하는 가정을 위반했을 때 발생한다.

6. 캅슐화

Thu, 17 Sep 2026 00:00:00 +0000

6.1. 잘못된 세션에 의한 데이터 정보 노출

정의

다중 스레드 환경에서는 싱글톤 객체 필드에 경쟁조건이 발생할 수 있다.

7. API 오용

Thu, 17 Sep 2026 00:00:00 +0000

7.1. DNS lookup에 의존한 보안결정

정의

공격자가 DNS 엔트리를 속일 수 있으므로 도메인명에 의존해서 보안결정(인증 및 접근 통제 등)을 하지 않아야 한다.