개발노트

CORS 이슈 우회 로컬 테스트용 크롬 브라우저 실행

밍꿔 — Thu, 20 Jul 2023 11:05:54 +0900

window 기준

chrome.exe --user-data-dir="C://Chrome dev session" --disable-web-security

웹 보안 XSS(Cross Site Scripting) 취약점 대응

밍꿔 — Sun, 25 Jun 2023 21:41:37 +0900

XSS(Cross Site Scripting)란?

- 웹페이지에 스크립트 코드를 삽입하여 의도하지 않은 명령을 실행시키거나 쿠키, 세션등을 탈 취 할 수 있는 취약점이다.

웹 보안 취약점 대응 방법은 보통 lucy filter와 같은 라이브러리를 적용하며, 추가로 필터로 대응되지 않는

케이스들에 대한 예외처리를 추가로 진행한다. (lucy filter의 request body, 에디터HTML 데이터)

Lucy XSS Filter 적용

- 웹어플리케이션으로 들어오는 모든 요청 파라미터에 대해 기본적인 XSS 방어 필터링을 수행한다.

- 화이트 리스트 방식의 필터.

maven pom.xml

<dependency>
    <groupId>com.navercorp.lucy</groupId>
    <artifactId>lucy-xss-servlet</artifactId>
    <version>2.0.1</version>
</dependency>

web.xml

<filter>
    <filter-name>xssEscapeServletFilter</filter-name>
    <filter-class>com.navercorp.lucy.security.xss.servletfilter.XssEscapeServletFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>xssEscapeServletFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

<filter>
    <filter-name>XSS</filter-name>
    <filter-class>com.diquest.common.web.CrossScriptingFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>XSS</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

CrossScriptingFilter.java

import java.io.IOException;
import java.util.Collection;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

public class CrossScriptingFilter implements Filter {

    public void init(FilterConfig filterConfig) throws ServletException {
    }

    public void destroy() {
    }

    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
        throws IOException, ServletException {
        HttpServletResponse httpServletResponse = (HttpServletResponse) response;
        chain.doFilter(new RequestWrapper((HttpServletRequest) request), response);
    }

}

RequestWrapper.java

import java.io.BufferedReader;
import java.io.ByteArrayInputStream;
import java.io.IOException;
import java.io.InputStream;
import java.io.InputStreamReader;
import javax.servlet.ServletInputStream;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
import com.nhncorp.lucy.security.xss.XssFilter;

public class RequestWrapper extends HttpServletRequestWrapper {
  private byte[] b;

  public RequestWrapper(HttpServletRequest servletRequest) throws IOException {
    super(servletRequest);
    XssFilter filter = XssFilter.getInstance("lucy-xss-sax.xml");
    b = new String(filter.doFilter(getBody(servletRequest))).getBytes("UTF-8");
  }

  @Override
  public ServletInputStream getInputStream() throws IOException {
    final ByteArrayInputStream bis = new ByteArrayInputStream(b);
    return new ServletInputStreamImpl(bis);
  }

  class ServletInputStreamImpl extends ServletInputStream {
    private InputStream is;
    public ServletInputStreamImpl(InputStream bis) {
      is = bis;
    }
    @Override
    public int read() throws IOException {
      return is.read();
    }
    @Override
    public int read(byte[] b) throws IOException {
      return is.read(b);
    }
  }

  public static String getBody(HttpServletRequest request) throws IOException {
    String body = null;
    String bodyRes = null;
    BufferedReader br = null;
    StringBuilder sb = new StringBuilder();
    try {
      InputStream inputStream = request.getInputStream();
      if (inputStream != null) {
        br = new BufferedReader(new InputStreamReader(inputStream, "UTF-8"));
        char[] charBuffer = new char[128];
        int bytesRead = -1;
        while ((bytesRead = br.read(charBuffer)) > 0) {
          sb.append(charBuffer, 0, bytesRead);
        }

      } else {
        sb.append("");
      }
    } catch (IOException ex) {
      throw ex;
    } finally {
      if (br != null) {
        try {
          br.close();
        } catch (IOException ex) {
          throw ex;
        }
      }
    }
    body = sb.toString();
    return body;
  }
}

lucy-xss.xml 설정 파일

- 보통은 resource폴더 하위에 알맞게 위치시키며, 설정 파일은 아래의 첨부파일 참고.

추가 예외케이스

- 에디터 사용 시, 내용은 html형태로 저장된다. 단순히 html entity 변환하는것에 초첨을 맞추다보면,

img태그나 기타 에디터 기능들이 동작을 안하는 경우가 발생한다.
때문에, 스크립트 공격이 있을 수 있는 케이스를 블랙리스트로 추가로 관리한다.

public static String[] eventArray = {"onclick", "ondblclick", "onmouseover", "onmouseout",
      "onchange", "onmousedown", "onmouseenter", "onmouseleave", "onmousemove", "onmouseup",
      "onfocus", "onfocusin", "onfocusout", "ondrag", "ondragleave", "ondragenter", "ondragover",
      "ondragdrop", "ondragstart", "ondragend", "onload", "onsubmit", "onunload", "onmousewheel",
      "onkeyup", "onkeypress", "onkeydown", "onpointercancel", "onpointerdown", "onpointerenter",
      "onpointerleave", "onpointermove", "onpointerout", "onpointerover", "onpointerup",
      "onpointerup", "onscroll", "onresize", "onselect", "onwheel", "oninput", "onblur",
      "onauxclick", "onreset", "confirm", "alert", "console.log", "onerror", "prompt",
      "oncontextmenu", "innerHTML", "eval", "onactive", "ondataavailable", "oncut", "onafterupdate",
      "onbeforeactivate", "onbeforedeactivate", "onbeforecut", "onbounce", "onbeforecopy",
      "ondblclick", "ondeactivate", "ondatasetchanged", "onbeforeprint", "onbeforepaste",
      "onbeforeupload", "onselectsatrt", "onpaste", "onpropertychange", "ondrop",
      "ondatasetcomplete", "onmove", "oncellchange", "onfinish", "onstop", "onlayoutcomplete",
      "onrowexit", "onbefore", "onstart", "onrowinserted", "onrowdelete", "onfilterchange",
      "oncontrolselected", "onlosecapture", "onrowenter", "onhelp", "onreadystatechange",
      "onrepeat", "onerrorupdate", "onselectionchange"};
          
public static String checkScriptEvent(String s){
    for(String eventStr : eventArray){
        if(s.contains(eventStr)) {
            s = s.replaceAll(eventStr + "=\".*?\"|" + eventStr + "='.*?'|" + eventStr + "=&quot;.*?&quot;|" + eventStr + "=.*?|" + eventStr, "");
            for (String dtEventStr : eventArray) {
                if (s.contains(dtEventStr) && eventStr.equals(dtEventStr)) {
                    s = checkScriptEvent(s);
                }
            }
        }
    }
    return s;
}

checkScriptEvent에서 재귀형태로 호출 하는 이유는 블랙리스트함수를 반복해서 사용할때도 제외하기 위함.

ex) ononerrorerror, onononscrollscrollscroll

lucy-xss-servlet-filter-rule.xml

0.00MB

lucy-xss-superset.xml

0.00MB

lucy-xss-superset-sax.xml

0.00MB

[Tomcat] MaxPostSize, MaxParameterCount

밍꿔 — Wed, 14 Dec 2022 13:14:34 +0900

MaxPostSize

maxPostSize의 apache 문서를 참조하면 아래와 같다.

The maximum size in bytes of the POST which will be handled by the container FORM URL parameter parsing. The limit can be disabled by setting this attribute to a value less than zero. If not specified, this attribute is set to 2097152 (2 megabytes).

기본 설정으로 Post로 전송 할 수 있는 기본 용량은 2MB.
maxPostSize 값을 0이나, 그보다 작은 수로 설정 하면 제한 해제.

<Connector port="8080" protocol="HTTP/1.1" redirectPort="8443" maxPostSize="-1"/>

MaxParameterCount

The maximum number of parameter and value pairs (GET plus POST) which will be automatically parsed by the container. Parameter and value pairs beyond this limit will be ignored. A value of less than 0 means no limit. If not specified, a default of 10000 is used. Note that FailedRequestFilter filter can be used to reject requests that hit the limit.

Get, Post전송의 경우는 파라미터의 갯수도 제한 있다.

제한을 두지 않을경우 기본적으로 10,000개까지가 사용이 가능하다.

다만, 해당 설정을 변경 할 일은 거의 없을 듯 하다.

<Connector port="8080" protocol="HTTP/1.1" redirectPort="8443" maxPostSize="-1" maxParameterCount="-1"/>

[Mysql] DB Time_Zone 변경 (Docker)

밍꿔 — Tue, 13 Dec 2022 17:12:04 +0900

time zone 이 UTC로 설정 되어 있을 경우, 현재 시간과 9시간이 차이남.

현재, DB가 docker로 설치 되어 있기 때문에

docker 쉘에 접속하여 mysql 접근 후 설정을 변경 해보겠다.

1. docker mysql 확인

docker ps

2. container 접속

docker exec -it mysql8 bash

3. mysql 접속

mysql -u root -p

4. time_zone 확인

show variables like "%time_zone";

5. time_zone 변경 및 확인

SET GLOBAL time_zone='Asia/Seoul';
SET time_zone = 'Asia/Seoul';

Spring ssl cors설정 403오류

밍꿔 — Fri, 8 Apr 2022 18:55:49 +0900

@Override
public void addCorsMappings(CorsRegistry registry) {
	registry.addMapping("/api/stats/extration").allowedOrigins("http://무언가의도메인.com")
			.allowedMethods(
            HttpMethod.GET.name()
            ,HttpMethod.POST.name()
            ,HttpMethod.OPTIONS.name()
            );
}

https://oingdaddy.tistory.com/243

Spring Security CORS 설정하기

예전에 CORS(Cross-Origin Resource Sharing)를 filter를 사용해서 설정하는것에 대해 포스팅을 한적이 있다. Spring Security를 사용하면 이렇게 별도의 filter를 만들지 않고 간단하게 CORS 설정을 할 수 있다...

oingdaddy.tistory.com

https://duooo-story.tistory.com/22

Spring을 사용하는 서버에서 CORS 설정 과정에서 발생한 이슈들

신규 기능으로 엑셀 다운로드 기능을 개발하는 도중, CORS문제가 났던 문제를 기록해보려 합니다. 먼저 간략하게 구성도를 그려보면 브라우저(A.com)에서 B.com 으로 호출을 하고 B.com에선 nginx가 프

duooo-story.tistory.com

Spring class 동적 로딩 (Singleton)

밍꿔 — Mon, 5 Apr 2021 18:52:57 +0900

package com.mk.common.web.security;

import org.springframework.web.multipart.MultipartFile;
import java.io.File;
import java.io.FileOutputStream;


public interface FileSecurityInterface {

    /**
     * 파일 업로드 암호화
     *
     * @param multi
     * @return
     */
    MultipartFile encryptUpload(MultipartFile multi);

    /**
     * 파일 업로드 암호화
     *
     * @param file
     * @return
     */
    File encryptUpload(File file);

    /**
     * Excel 파일 업로드 암호화
     *
     * @param multi
     * @return
     */
    MultipartFile encryptExcelUpload(MultipartFile multi);

    /**
     * 파일 다운로드 복호화
     *
     * @param file
     * @return
     */
    File decryptDownload(File file);

    /**
     * Excel 파일 다운로드 복호화
     *
     * @param file
     * @return
     */
    FileOutputStream decryptDownload(FileOutputStream file);
}

package com.mk.common.web.security;

import org.springframework.beans.factory.annotation.Value;
import org.springframework.web.multipart.MultipartFile;

import java.io.File;
import java.io.FileOutputStream;

public class FileSecurity implements FileSecurityInterface {

    private static FileSecurityInterface instance;

    public FileSecurity(){}

    public static FileSecurityInterface getInstance(String libPath){
        if(instance == null) {
            try {
                instance = (FileSecurityInterface) Class.forName(libPath).newInstance();
            } catch (ClassNotFoundException e) {
                instance = new FileSecurityException();
            }  catch (InstantiationException e) {
                e.printStackTrace();
            } catch (IllegalAccessException e) {
                e.printStackTrace();
            }
        }
        return instance;
    }

    @Override
    public MultipartFile encryptUpload(MultipartFile multi) {
        return multi;
    }

    @Override
    public File encryptUpload(File file) {
        return file;
    }

    @Override
    public MultipartFile encryptExcelUpload(MultipartFile multi) {
        return multi;
    }

    @Override
    public File decryptDownload(File file) {
        return file;
    }

    @Override
    public FileOutputStream decryptDownload(FileOutputStream file) {
        return file;
    }
}

package com.mk.common.web.security;

import org.apache.log4j.Logger;
import org.springframework.web.multipart.MultipartFile;

import java.io.File;
import java.io.FileOutputStream;

public class FileSecurityException implements FileSecurityInterface{

    public Logger logger = Logger.getLogger(this.getClass());

    public FileSecurityException(){}

    @Override
    public MultipartFile encryptUpload(MultipartFile multi) { return multi; }

    @Override
    public File encryptUpload(File file) { return file; }

    @Override
    public MultipartFile encryptExcelUpload(MultipartFile multi) { return multi; }

    @Override
    public File decryptDownload(File file) { return file; }

    @Override
    public FileOutputStream decryptDownload(FileOutputStream file) { return file; }
}

PreparedStatement 대량 insert(addBatch, executeBatch)

밍꿔 — Wed, 10 Mar 2021 11:13:11 +0900

fruitdev.tistory.com/111

[Java] addBatch와 exceuteBatch를 이용한 대용량 데이터 처리

어느날 100만건이 넘는 대용량 데이터를 빠른 시간내에 처리해야 하는 이슈가 있었다. 처음에는 습관처럼 myBatis를 이용하여 데이터 insert를 처리하였는데 데이터를 insert 하는 시간이 생각보다 오

fruitdev.tistory.com

ORA-12519 TNS:no appropriate handler found

밍꿔 — Mon, 8 Mar 2021 17:30:12 +0900

ORA-12519: TNS:no appropriate service handler found

=> DB Connection 후 close를 안해서 오라클 프로세스 수가 설정한 max값을 초과한 경우 발생.

SQL > SELECT * FROM v$resource_limit where resource_name='processes'; -- connection 확인
SQL > ALTER SYSTEM SET PROCESSES=200 SCOPE=spfile; -- max값 200으로 설정(보통 그 이하)
SQL > shutdown immediate; 
SQL > startup; -- 재시작 후 적용됨

css/js 파일 캐시 방지

밍꿔 — Fri, 22 Jan 2021 15:33:43 +0900

css, js 파일을 수정 후 반영을 하면 브라우저에서 css,js파일은 캐시로 저장하기 때문에

참조하는 파일 url이 동일 하다면 수정 되기 전 앞서 저장되어 있는 파일을 사용하기 때문에

수정된 부분이 작동하지 않게 된다

이를 일시적으로 해결하기 위해 브라우저 캐시 비우기 및 강력 새로고침 작업을

진행 하게 되면 해결 된다. 하지만 이는 일회성 해결 방법이고,

css, js파일 경로 끝에 버전정보, 날짜정보와 같이 반영할때마다 해당 파일이 변경되었다는 점을

알 수 있게 파라미터로 넘겨주는 방법이 있다

아래와 같이,

<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core"%>
<%@ taglib prefix="fmt" uri="http://java.sun.com/jsp/jstl/fmt"%>
<%@ taglib uri="http://java.sun.com/jsp/jstl/functions" prefix="fnc"%>

<jsp:useBean id="today" class="java.util.Date"/>
<fmt:formatDate var="nowDate" pattern="yyyyMMddhhmmss" value="${today}"/>
<script type="text/javascript" src="../resources/js/pages/test/list.js?importDate=${nowDate}"></script>

importDate라는 변수로 화면이 로딩 될 때마다 날짜데이터를 넘겨주는 형태 이다.

MongoDb Connection

밍꿔 — Wed, 2 Dec 2020 15:53:26 +0900

NoSql중 Node.js 아래의 MongoDb 기본 Connection 부분을 간략히 설명.

1. npm install mongoose

2. connection.js 접속정보 입력

module.exports = async () => {
    const mongoose = require('mongoose');
    const mongoConfig = require('../../config/mongo.config');
    await mongoose.connect(mongoConfig.mongoURI,{
        useNewUrlParser :true,
        useUnifiedTopology :true,
        useFindAndModify :false
    }).then(()=>{
        console.log('mongoDB Connected...');
    }).catch(err =>{
        console.log(err);
    })
    return mongoose;
}

- mongo.config(샘플)

module.exports = {
    mongoURI : "mongodb://127.0.0.1:27017/testDb?retryWrites=true&w=majority"
}

3. sample service.js

/**
 * Sample Service
 *
 * @author mkhwang
 * @description Sample Service *
 */
const mongoRoomChat = require("../../mongoModels/RoomChat");
/**
 * sample service list select
 * @param {test_seq} 채팅 방 seq
 */
exports.getPreChatList = async (obj) => {
    try{
        if(isEmpty(obj))
        {
            return api.parameterNull;
        }
        else
        {
            let conversationList = await mongoRoomChat.find({"test_seq":obj.test_seq}).sort({date: -1}).skip(obj.page_size*(obj.page_num-1)).limit(obj.page_size);
	    return objectAssign({"page_size":obj.page_size, "page_num":obj.page_num, "list":conversationList});
        }
    } catch (e) {
        return objectAssign({"error":e.toString()}, api.fail) ;
    }

sort - 정렬할 field : 1 or -1 (1일 경우 오름차순, -1일 경우에 내림차순.)
limit - 출력할 갯수를 제한

skip - 출력할 데이터의 시작을 설정. 즉 인자로 들어오는 value 만큼 건너뛰고 value+1부터 출력