이클립스의 findBugs 보안툴 이용하여 prepareStatement 걸리는 문제

Question

안녕하세요.이클립스의 findBugs 보안툴을 이용하여 소스에 돌려봤습니다.그런데, SQL Injection 에 의한 몇개 걸렸습니다. sql &#61; getSql(&#34;xml query 명&#34;); //이건 직접 퀴리문 대신 getSql 해서 xml query 가져옴. psmt &#61; conn.prepareStatment(sql); //<-- 요부분 보안툴 돌리면 걸립니다.psmt &#61; commonDao.getPrepareStatment(conn, sql);~중략~psmt.setString(1, 변수명); psmt.setString(2, 변수명); psmt.setString(3, 변수명); 이렇게 상황같습니다.getSql 메소드 문제인것같은데..findbugs 안걸리도록 하는 좋은 방법이 없을까요?

fender · Answer

답변을 달았다가 다시 보니 SQL 인젝션 관련이라면 정적 분석 도구의 한계상 가양성(false positive) 결과가 나온 것일 수도 있다고 생각해서 지웠습니다.정확한 메시지가 어떻게 나오는 지 소개해주시면 도움이 될 수 있을 것 같습니다.

webman · Answer

Bug: This use of Connection.prepareStatment(...) cna be vulnerable to SQL injection.The input values included in SQL queries need to be passed in safely.Bind variables in prepared statements cna be userd to easily mitigate the risk of SQL injection. Vulnerable Code:(잘못유형)Connection conn &#61; [...];statement stmt &#61; conn.createStatement();ResultSet rs &#61; stmt.executeQuery(&#34;update COFFEES set SALES &#61; &#34;&#43;nbSales&#43;&#34; where COF_NAME&#61; '&#34;&#43;coffeeaName&#43;&#34;'&#34;);Solution: (권장유형)Connection conn &#61; [...]; conn.prepareStatement(&#34;update COFFEES set SALES &#61; ? where COF_NAME &#61;? &#34;);updateSales.setInt (1, nbSales);updateSale.setString(2, coffeeName);이렇게 메시지가나옵니다. 저희는 권장유형입니다. 그런데 getSql 이 메소드 문제인지...모르겠습니다. ㅠㅠ

fender · Answer

말씀하신 내용이 정확하다면 앞서 언급한 가양성의 문제일 것 같습니다. 일반적인 패턴이 아니라서 FindBugs가 착각을 하는 경우니까 무시하거나 해당 검사를 비활성화하는 방법을 고려할 수 있습니다.보통 그런 정적 분석 도구는 주석이나 어노테이션을 통해 구문 단위로도 특정 검사를 무시하는 방법도 제공하니 해당 내용에 대해서 문서를 참조해보시는 것도 권해드리고 싶습니다.

webman · Answer

아.. 감사합니다.혹시 그 문서를 참조할 만한 사이트를 아세요? 좌표 알려주시면 또 감사하겠습니다.그리고 구글링 찾아봐야겠습니다. ^^

fender · Answer

잠깐 구글링하니 어노테이션에 대해선 이런 내용이 나오네요:https://dzone.com/articles/suppressing-findbugs-warnings 전역으로 특정 검사를 빼는 것은 모든 아마 거의 모든 정적 검사 도구가 지원할테니 그건 공식 문서 같은 것을 보시면 될 것 같습니다.

webman · Answer

고맙습니다.

이클립스의 findBugs 보안툴 이용하여 prepareStatement 걸리는 문제

6개의 답변

#preparestatement 목록