Integer Overflow 실습 시뮬레이터

✏️ 코드 에디터 취약한 코드

public String processMessage(HttpServletRequest request) {
    String msg_str = "";
    String tmp = request.getParameter("slf_msg_param_num");
    tmp = StringUtil.isNullTrim(tmp);
    
    if (tmp.equals("0")) {
        msg_str = PropertyUtil.getValue(msg_id);
    } else {
        // TODO: 외부 입력값을 정수형으로 사용할 때 입력값의 크기를 검증하고 사용
        // 힌트: try-catch로 감싸고, 음수 체크 (< 0), 최대값 체크 추가
        
        int param_ct = Integer.parseInt(tmp);
        String[] strArr = new String[param_ct];
        
        // 배열 사용 코드...
    }
    
    return msg_str;
}

💡 수정 가이드

Step 1: try-catch 블록 추가

try { int param_ct = Integer.parseInt(tmp); // ... 배열 생성 코드 } catch(Exception e) { msg_str = "잘못된 입력(접근) 입니다."; }

Step 2: 음수 검증 추가

int param_ct = Integer.parseInt(tmp); if (param_ct < 0) { throw new Exception(); }

Step 3: 최대값 검증 추가 (선택)

if (param_ct > 1000) { throw new Exception("크기 제한 초과"); }

완성 예시:

try { int param_ct = Integer.parseInt(tmp); if (param_ct < 0) { throw new Exception(); } String[] strArr = new String[param_ct]; } catch(Exception e) { msg_str = "잘못된 입력(접근) 입니다."; }

📊 실시간 피드백

🎯 목표

외부 입력값을 배열 크기로 사용할 때 안전하게 검증하세요.

try-catch 예외 처리
음수 값 검증 (< 0)
범위 초과 검증
에러 메시지 처리

⚠️ 취약점

현재 코드는 Integer Overflow에 취약합니다!

공격자가 -1이나 999999999를 입력하면 시스템이 다운될 수 있습니다.

📖 Integer Overflow란?

정수형 오버플로우는 외부 입력값을 정수형으로 변환할 때 값의 범위를 검증하지 않아 발생하는 보안 취약점입니다.

음수 공격: 음수 값으로 배열 생성 시 NegativeArraySizeException
과도한 값: 매우 큰 값으로 OutOfMemoryError 유발
DoS 공격: 시스템 리소스 고갈로 서비스 거부

🔢 Integer Overflow 실습 시뮬레이터