CASTLE 웹방화벽 패턴 추가 2011.07

최근 개발했던 웹사이트를 한국 인터넷진흥원에서 웹 보안취약점 점검을 받고 취약점 보고서를 받은 뒤 CASTLE 내 필터 패턴을 추가해야 되는 상황이 생겼다.

원래 CASTLE 인터넷진흥원에서 나온 도구이긴 하지만 발표후 패턴에 대한 업데이트 공지나 정보가 전혀 없는 상황이다.

사이트에 적용했던 CASTLE는 ASP 1.0.1 버전이며, 문제가 된 부분들은 SQL 인젝션과 XSS에 대한 부분들이다. CASTLE에 로그인한 뒤 정책설정 페이지로 가서 SQL Injection 과 XSS 부분에 다음과 같은 패턴을 추가한다.

SQL 인젝션에서는 빨간 테두리 부분을 추가한다.

XSS 에서도 빨간 테두리 부분을 추가한다. 위에 비슷한 패턴이 있는데 이상하게 걸러지지 않는다.

참고로 POST,GET 파라메터들을 받을때 확실한 형변환(문자형이냐 정수,실수형이냐)부분이라든지 SQL 명령어 필터링, 문자형의 경우 형식제한 및 HTML 태그가 들어가서 실행되지 않도록 어플상에서도 걸러주도록 신경써야 한다.