OS Command Injection 실습 시뮬레이터

✏️ 코드 에디터 취약한 코드

public void backupLog(HttpServletRequest request) {
    // 외부로부터 입력 받은 값을 검증 없이 사용할 경우 안전하지 않다
    String date = request.getParameter("date");
    
    String command = new String("cmd.exe /c backuplog.bat");
    
    // TODO: 여기에 특수문자 필터링 코드를 추가하세요
    // 힌트: date = date.replaceAll("|", "");
    
    Runtime.getRuntime().exec(command + " " + date);
}

💡 수정 가이드

필수 필터링 특수문자:

| (파이프) - 명령어 연결 ; (세미콜론) - 명령어 구분 & (앰퍼샌드) - 명령어 연결 : (콜론) - 드라이브/경로 ( ) (괄호) - 서브쉘 실행

replaceAll() 사용법:

date = date.replaceAll("\\|", ""); // | 제거 date = date.replaceAll(";", ""); // ; 제거 date = date.replaceAll("&", ""); // & 제거 date = date.replaceAll(":", ""); // : 제거 date = date.replaceAll("\\(", ""); // ( 제거 date = date.replaceAll("\\)", ""); // ) 제거

⚠️ 주의사항:

• | 와 ( ) 는 정규식 특수문자이므로 \\ 로 이스케이프 필요
• Runtime.getRuntime().exec() 앞에 필터링 코드 추가
• 모든 특수문자를 빈 문자열("")로 치환

📊 실시간 피드백

🎯 목표

위험한 특수문자를 필터링하여 Command Injection을 방어하세요.

| - 명령어 파이프
; - 명령어 구분자
& - 명령어 연결
: - 경로 구분자
( ) - 서브쉘

⚠️ 취약점

현재 코드는 Command Injection에 취약합니다!

공격자가 2024-01-01; del /F /Q * 를 입력하면 시스템 파일을 삭제할 수 있습니다.

📖 Command Injection이란?

운영체제 명령어 삽입(Command Injection)은 사용자 입력을 검증 없이 시스템 명령어에 전달할 때 발생하는 보안 취약점입니다.

공격 원리: 특수문자(;, |, &)를 이용해 추가 명령어 실행
피해 사례: 시스템 파일 삭제, 정보 유출, 악성코드 다운로드
방어 방법: 입력값 검증, 특수문자 필터링, ProcessBuilder 사용

⚡ Command Injection 실습 시뮬레이터

📟 시스템 출력