청와대 DB 해킹 뉴스는 오버

청와대 DB 서버가 해킹당했을 가능성이 높다는 뉴스.

관련 뉴스 : http://www.boannews.com/media/view.asp?idx=10240&kind=13

아쉽게도 이 뉴스는 지나친 오버다.

실무에서 웹 어플리케이션 소스를 분석하다보면, 손쉽게 알 수 있는 부분인데,
브라우저 화면에 "undefined" 라고 출력되는 것은, DB에서 데이터를 가져오지 못했기 때문에 발생하는 현상이다. 접속자 폭주, DoS, DB 커넥션 에러, DB 과부하 등이 원인이 될 수 있다.

그러면 왜 "undefined" 라고 출력이 되느냐?
pseudo code 로 설명하자면,

if (bbs_arrays=db_query("select num, title, content, date from bbs_table")) {
 ... 변수 할당 ..
  ... 게시판 테이블 꾸미기 ...
 num ? <%=num> : "undefined";
 title ? <%=title> : "undefined";
 content ? <%=content> : "undefined";
  ... 게시판 테이블 꾸미기 ...
}

형태로 코딩되어 있기 때문이다.

보통은 직접 위와 같이 코딩하기 보다는 template 엔진을 활용해,

... 게시판 테이블 꾸미기 ...
 <%=num>
 <%=title>
 <%=content>
... 게시판 테이블 꾸미기 ...

형태로 코딩하면, template 엔진에서 해당 변수가 undefined 되어 있는 경우 자동으로 "undefined" 로 대체해주는 경우도 많다.

아쉽게도 보안뉴스와 인터뷰한 전문가들은 개발과 관련해 위와같은 세부정보를 모르기 때문에 DB 해킹을 의심한게 아닌가 싶다.

우리는 컨설턴트이고, 보안과 관련된 부분을 집중적으로 연구하기 때문에 아무래도 개발자만큼 개발실무에 대해 잘알수는 없다. 때문에 인터뷰한 보안 전문가를 탓하고 싶지 않다.

이 글은 그저, 내가 아는 지식의 범위 내에서, 기존에 잘못 알려진 사실을 교정한다는 의미에서 적은 것일 뿐...
바빠서 이만 휘리릭~
이글루스 가든 - professional secur...