보안 위협과 방어

#include <string.h>
#include <stdio.h>

/* 취약한 코드 — 절대 이렇게 작성하지 마세요 */
void vulnerable(char *input) {
    char buffer[64];
    strcpy(buffer, input);  /* 문자열 내용이 64바이트 이상이면 널 문자까지 들어가지 못함 */
    printf("Buffer: %s\n", buffer);
}

/* 경계 검사를 추가한 코드 */
void safe(const char *input) {
    char buffer[64];
    snprintf(buffer, sizeof(buffer), "%s", input);  /* 길이를 넘으면 잘라서 널 종단 */
    printf("Buffer: %s\n", buffer);
}

#include <stdio.h>
#include <stdlib.h>

int main() {
    /* 1. 안전한 함수 사용 */
    char buf[32];
    /* 크기 확인 + snprintf/fgets; strncpy도 널 종단을 보장하지 않음 */
    if (fgets(buf, sizeof(buf), stdin) == NULL) return 1;

    /* 2. 컴파일러 방어 (-fstack-protector) */
    /* 스택 카나리: 리턴 주소 앞에 랜덤 값 삽입 */
    /* 함수 반환 시 카나리가 변조되었으면 __stack_chk_fail() 호출 */

    /* 3. OS 방어 (ASLR) */
    printf("스택 변수 주소: %p\n", (void *)buf);
    void *heap = malloc(1);
    if (!heap) return 1;
    printf("힙 주소:       %p\n", heap);
    free(heap);
    /* ASLR 설정과 빌드에 따라 배치가 달라질 수 있음; 매번 다른 값 보장 아님 */

    return 0;
}

# 주요 보안 옵션을 켜고 컴파일
gcc -O2 \
    -fstack-protector-all \
    -D_FORTIFY_SOURCE=2 \
    -Wformat -Wformat-security \
    -pie -fPIE \
    -Wl,-z,relro,-z,now \
    -Wl,-z,noexecstack \
    -o program program.c

# -fstack-protector-all:  모든 함수에 스택 카나리
# -D_FORTIFY_SOURCE=2:    최적화 옵션과 함께 버퍼 크기 검사 강화
# -pie -fPIE:             위치 독립 실행 파일 (ASLR 효과 극대화)
# -Wl,-z,relro,-z,now:    GOT 보호 (Full RELRO)
# -Wl,-z,noexecstack:     스택 실행 금지 표시

import hashlib
import os

def file_hash(path):
    """파일의 SHA-256 해시 계산"""
    h = hashlib.sha256()
    with open(path, "rb") as f:
        for chunk in iter(lambda: f.read(8192), b""):
            h.update(chunk)
    return h.hexdigest()

# 중요 시스템 파일의 해시를 저장하고 주기적으로 비교
critical_files = ["/usr/bin/sudo", "/usr/bin/ssh", "/usr/sbin/sshd"]
for f in critical_files:
    if os.path.exists(f):
        print(f"{f}: {file_hash(f)}")

# 해시 변화는 정상 업데이트 또는 변조 가능성; 신뢰한 기준선·변경 이력과 대조
# 실무에서는 AIDE, Tripwire, OSSEC 같은 무결성 검사 도구 사용

# SELinux 상태 확인
getenforce          # Enforcing, Permissive, Disabled
sestatus            # 상세 상태

# 파일의 보안 컨텍스트 확인
ls -Z /var/www/html/index.html
# -rw-r--r--. root root system_u:object_r:httpd_sys_content_t:s0

# httpd_t의 접근은 실제 정책·boolean·파일 타입 등에 따라 결정됨
# httpd_sys_content_t는 웹 콘텐츠용 타입의 한 예; 유일한 허용 타입은 아님

# 컨텍스트 복원
restorecon -Rv /var/www/html/

# /etc/apparmor.d/usr.sbin.nginx 프로파일 예시
# /usr/sbin/nginx {
#   /var/www/** r,          # 웹 콘텐츠 읽기만
#   /var/log/nginx/** w,    # 로그 쓰기만
#   /run/nginx.pid rw,      # PID 파일
#   network inet tcp,       # TCP 네트워크 허용
#   deny /etc/shadow r,     # shadow 파일 읽기 명시적 거부
# }

# AppArmor 상태 확인
aa-status

# 위 주석은 일부 권한만 보인 발췌이며 완전한 nginx 프로파일이 아님
# 필요한 로더·라이브러리·설정 접근까지 갖춘 실제 프로파일을 enforce로 설정
aa-enforce /etc/apparmor.d/usr.sbin.nginx

# IPv4 filter 테이블의 최소 예시: 허용 규칙을 준비한 뒤 기본 정책 설정

# 기존 연결 유지
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# SSH (포트 22) 허용
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# HTTP/HTTPS 허용
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# 로컬 루프백 허용
iptables -A INPUT -i lo -j ACCEPT

# 허용 규칙 뒤에 기본 정책 적용
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# 실패한 로그인 시도 확인
grep "Failed password" /var/log/auth.log | tail -20

# 현재 열린 포트 확인
ss -tlnp

# 최근 sudo 사용 기록
grep sudo /var/log/auth.log | tail -10

# 비정상 프로세스 확인
ps aux --sort=-pcpu | head -20