해설 보기
정답SSI 인젝션을 조작된 XPath 쿼리 공격으로 설명한 선지로, 실제 XPath 인젝션의 정의를 SSI 인젝션에 잘못 붙였습니다.
핵심 개념
응용 수준(웹 애플리케이션) 취약점의 종류 구분
응용 수준 취약점은 입력값 검증 부재나 메모리 처리 결함에서 비롯되는 공격 지점을 말합니다. 버퍼오버플로우는 할당된 메모리 경계를 넘겨 쓰는 결함이고, XSS는 악성 스크립트를 웹 페이지에 삽입해 다른 이용자의 브라우저에서 실행시키는 결함입니다. 인젝션 계열은 삽입되는 대상이 무엇이냐로 이름이 갈립니다. SQL문이면 SQL 인젝션, XPath 질의문이면 XPath 인젝션, 서버가 해석하는 SSI 지시어(<!--#exec 등)면 SSI 인젝션입니다. 이름과 삽입 대상의 짝을 바꿔치기한 선지를 찾아내는 것이 이 문제의 핵심입니다.
선지별 해설
①버퍼오버플로우는 버퍼에 할당된 블록 크기보다 큰 데이터를 입력해 인접 메모리를 덮어쓰는 취약점이 맞습니다. 스택의 복귀주소를 조작해 임의 코드 실행으로 이어질 수 있습니다.
②크로스 사이트 스크립팅(XSS)은 관리자가 아닌 제3자가 게시판 등에 악성 스크립트가 담긴 글을 올려 이를 열람한 이용자의 브라우저에서 실행되게 하는 취약점이므로 옳은 설명입니다.
③조작된 XPath 쿼리를 보내 비정상적인 데이터를 조회하는 것은 XPath 인젝션의 설명입니다. SSI 인젝션은 웹 서버가 해석하는 SSI(Server Side Includes) 지시어를 입력값에 삽입해 서버에서 명령 실행이나 파일 노출을 유발하는 취약점이므로 이 선지는 틀렸습니다.
④SQL 인젝션은 입력값에 SQL문으로 해석될 수 있는 문자열을 넣어 의도하지 않은 질의를 실행시키고 데이터베이스에 접근하는 취약점이므로 옳은 설명입니다.
해설 보기
정답당사자 간 약정에 따른 전자서명은 제3의 신뢰기관이 개입하지 않아 효력이 없다고 한 선지로, 법이 명문으로 효력을 인정하고 있어 틀렸습니다.
핵심 개념
전자서명법의 용어 정의와 전자서명의 효력
전자서명법은 전자서명의 효력과 용어를 정한 법률로, 2020년 전부개정으로 공인인증서 제도가 폐지되고 다양한 전자서명수단이 동등하게 인정되는 체계가 되었습니다. 제2조에서 전자문서, 전자서명, 전자서명생성정보, 인증서 등을 정의하고, 제3조에서 효력을 정합니다. 제3조 제1항은 전자적 형태라는 이유만으로 서명·서명날인·기명날인으로서의 효력이 부인되지 않는다고 규정하고, 제2항은 법령의 규정 또는 당사자 간의 약정에 따라 서명 등의 방식으로 전자서명을 선택한 경우 그 전자서명이 서명·서명날인·기명날인으로서의 효력을 가진다고 규정합니다. 제3의 신뢰기관 개입 여부는 효력 인정의 요건이 아닙니다.