Unsafe Native Invoke

Platform Invocation Services를 잘못 사용하면 관리되는 응용 프로그램이 다른 언어의 보안 결함에 취약해질 수 있습니다.

Unsafe Native Invoke 오류는 관리되는 응용 프로그램이 P/Invoke를 사용하여 다른 프로그래밍 언어로 작성된 네이티브 (비관리) 코드를 호출할 때 발생합니다.

예제 1: 다음 C# 코드는 Echo라는 클래스를 정의합니다. 클래스는 C를 사용하여 콘솔에 입력된 명령을 사용자에게 돌려보내는 하나의 네이티브 메서드를 선언합니다.

class Echo
{
  [DllImport("mylib.dll")]
  internal static extern void RunEcho();

  static void main(String[] args)
  {
    RunEcho();
  }
}

다음 C 코드는 Echo 클래스에서 구현된 네이티브 메서드를 정의합니다.

#include <stdio.h>

void __stdcall RunEcho()
{
  char* buf = (char*) malloc(64 * sizeof(char));
  gets(buf);
  printf(buf);
}

이 Echo는 관리되는 코드로 구현되었기 때문에 buffer overflow 취약점과 같은 메모리 문제가 없는 것처럼 보입니다. 관리되는 환경은 메모리 연산을 안전하게 수행하는 뛰어난 기능이 있지만 이 보호 기능은 P/Invoke를 통해 액세스하는 네이티브 코드에서 발생하는 취약점에까지 적용되지는 않습니다. 관리되는 런타임 환경의 메모리 보호 기능에도 불구하고, 이 예제의 네이티브 코드는 입력에 대해 범위 검사를 수행하지 않는 gets()를 사용하기 때문에 buffer overflow에 취약합니다. 또한 buf가 할당되지만 해제되지 않으므로 memory leak이 발생합니다.

Example 1의 취약점은 네이티브 메서드 구현의 소스 코드 감사를 통해 쉽게 발견할 수 있습니다. 소스 코드 감사는 소스 코드의 가용성 및 프로젝트의 구축 방식에 따라 현실적이지 않거나 불가능할 수도 있지만 대부분의 경우 이 방법으로 충분합니다. 하지만 관리되는 환경과 네이티브 환경 간에 개체를 공유하게 되면 관리되는 코드의 부적절한 데이터 처리가 네이티브 코드의 예기치 않은 취약점으로 이어지거나 네이티브 코드의 안전하지 못한 작업으로 인해 관리되는 코드의 데이터 구조가 손상되는 등 잠재적인 위험이 훨씬 심각한 문제로 확대됩니다.

관리되는 응용 프로그램을 통해 접근되는 네이티브 코드의 취약점은 대개 네이티브 언어로 작성된 응용 프로그램에서와 동일한 방식으로 익스플로이트됩니다. 이러한 공격의 유일한 난관이라면 공격자가 관리되는 응용 프로그램이 네이티브 코드를 사용하여 특정 작업을 수행한다는 것을 식별하는 것입니다. 이는 다양한 방법으로 수행할 수 있습니다. 예를 들면, 네이티브 코드에서 자주 구현되는 특정 동작을 식별하거나 관리되는 응용 프로그램에서 P/Invoke 사용을 노출하는 system information leak을 익스플로이트하는 방법 등이 있습니다.