[20211214 TIL] [시큐어코딩] 널(Null)포인터 역참조 (NULL Pointer Dereference)

정보처리기사에서 참 외우기 힘들었던, 시큐어코딩. 실무에서 보니까 정말 반가웠다. 시큐어코딩이 이렇게 쓰이는 구나 싶었다. 물론 처음부터 시큐어코딩 가이드에 맞게 코딩하면 좋겠지만, 그렇지 못한 경우들도 있다. 현회사에서는 패키지 개발이 모두 끝난 후에 시큐어코딩을 해주는 회사에서 시큐어코딩 점검을 받았다. 업체측에서 보고서가 날라왔고 그 보고서에는 시큐어코딩을 지키지 못한 보안약점들에 대한 내용이 적혀있었다. 나도 그 보안약점을 수정하는 역할을 맡았다. 내가 맡은 부분은 널 포인터 역 참조에 대한 보안약점이었다.

 

Q. 널(Null)포인터 역참조란?

'일반적으로 그 객체가 Null이 될 수 없다'라고 하는 가정을 위반했을 때 발생한다. 공격자가 의도적으로 Null 포인터 역참조를 실행하는 경우, 그 결과 발생하는 예외 사항을 추후의 공격을 계획하는 데 사용될 수 있다.

 

... 라고 정의가 써있지만 솔직히 무슨 말인지 잘 모르겠다.

내 나름 정의를 내려보자면, '널(Null)일 수도 있는 값을 널체크를 하지 않고 참조하려고 하면 발생한다' 이정도 뉘앙스가 아닐까 ? '이번 크리스마스에 여자친구랑 뭐하세요?' 라고 묻기 전에 '여자친구 있으세요 ?' 라고 물어봐야 하는 것 처럼,, 

 

 

- 예시

-- 널 체크 전에 size 함수 사용

 

* 잘못된 코드

if(tempVO.size() > 0){
 	(생략)
}

 

* 안전한 코드

if(tempVO!=null && tempVO.size() > 0){
 	(생략)
}

 

같은 맥락으로, 널체크를 하지 않고 length 함수를 쓴다든지 equals 함수를 쓰는 것도 잘못된 코드이다.