애플리케이션이 사용자가 입력한 호스트를 `ping -c 1 ` 문자열로 셸에 전달한다. 가장 우선할 개선은?

셸을 거치지 않는 API에 고정 명령과 검증된 인수를 분리해 전달한다.

세미콜론과 파이프만 제거한 뒤 입력을 기존 셸 명령 문자열에 이어 붙인다.

입력을 큰따옴표로 감싸되 셸의 명령 치환과 개행 문법은 허용한다.

셸을 거치지 않는 API에 고정 명령과 검증된 인수를 분리해 전달한다.

호스트 형식은 검증하지만 검증 전 원본을 셸 문자열로 실행한다.

정처LAB 자체 제작내용 검수 완료2023년 출제범위 기반 정보보안기사 실전 연습 세트 1 · 애플리케이션 보안 · 운영체제 명령 삽입 · 47번

애플리케이션이 사용자가 입력한 호스트를 `ping -c 1 <입력>` 문자열로 셸에 전달한다. 가장 우선할 개선은?

정답·상세해설

셸 문자열 연결은 세미콜론 외에도 치환, 파이프, 개행 등 여러 메타문자의 해석을 허용한다. 필요한 기능의 전용 API를 쓰거나 실행 파일과 인수 배열을 분리하고 호스트 형식을 허용목록으로 검증해야 한다.

콘텐츠 기록

출제범위 기반 실전 연습을 위해 정처LAB이 독립 제작했습니다. 표시 연도는 학습 범위의 맥락이며 특정 시행 회차의 출제문항이나 복원 원문을 뜻하지 않습니다.