Node.js.46.App 제작-입력정보에 대한 보안

웹 애플리케이션의 보안 문제

사용자의 id와 password 정보를 담은 파일이 있다고 하자.

//password.js

module.exports = {
  id:'egoing',
  password:'111111'
}

 ../ : 현재 디렉토리의 부모 디렉토리

../password.js을 입력하게 되면 파일을 읽게 된다.

이를 view page source로 보면

우리가 만들었던 password.js가 화면에 출력되는 최악의 경우가 생긴다. 또한 ../을 덧붙이면 우리 컴퓨터를 모두 탐색할 수 있게 된다. 

---

 

이 문제를 해결해보자.

 

Google에 nodejs path parse 검색해보자.

Path | Node.js v14.9.0 Documentation

 

보시다시피 우리가 입력한 path를 객체 형태로 분석(parse)하여 출력해준다.

 

.base : 경로를 탐색해나가는 정보를 세탁할 수 있는 기능

즉, 외부에서 들어온 정보가 바깥에서 나갈 때 오염될 수 있으므로 철저히 의심하고 경로 정보를 세탁해야만 한다.

 

---

      // 2. id값을 선택한 page
      } else {
        fs.readdir('./data', function(err, filelist){
          var filteredId = path.parse(queryData.id).base;
          fs.readFile(`data/${filteredId}`, 'utf8', function(err, description){
          ...
          ...

path.parse().base를 이용하여 경로를 세탁하게 되면, 이제 제목은 바뀌어도 ../가 차단되기 때문에 파일을 찾을 수 없다고 undefined가 뜬다.

 

 

전체 코드

- 2. id값을 선택한 page에서 파일을 읽어올 때

- 5. update 버튼을 누른 페이지에서 파일을 읽어올 때

- 7. delete 버튼을 누른 페이지에서 파일을 삭제하기 위해 fs.unlink를 통해 들어갈 때

세 경우에 경로를 세탁하는 코드를 추가하였다.

var http = require('http');
var url = require('url');
var fs = require('fs');
var qs = require('qs');
var template = require('./lib/template.js');
var path = require('path');

var app = http.createServer(function(request,response){
    var _url = request.url;
    var queryData = url.parse(_url, true).query;
    var pathname = url.parse(_url, true).pathname
    console.log(pathname);
    if(pathname === '/'){
      // 1. home 페이지
      if(queryData.id === undefined){
        fs.readdir('./data', function(err, filelist){
          var title = 'Welcome';
          var description = 'Hello, Node.js';
          var list = template.list(filelist);
          var html = template.html(title, list,
            `<a href="/create">create</a>`,
            `<h2>${title}</h2>${description}`);
          response.writeHead(200);  //200: 파일을 성공적으로 전송하였음
          response.end(html);
        });
      // 2. id값을 선택한 page
      } else {
        fs.readdir('./data', function(err, filelist){
          var filteredId = path.parse(queryData.id).base;
          fs.readFile(`data/${filteredId}`, 'utf8', function(err, description){
            var title = queryData.id;
            var list = template.list(filelist);
            var html = template.html(title, list,
              `<a href="/create">create</a>
              <a href="/update?id=${title}">update</a>
              <form action="delete_process" method="post" onsubmit="blarblar">
                <input type="hidden" name="id" value="${title}">
                <input type="submit" value="delete">
              </form>
              `,
              `<h2>${title}</h2>${description}`);
            response.writeHead(200);  //200: 파일을 성공적으로 전송하였음
            response.end(html);
          });
        });
      }
    // 3. create 버튼을 누른 페이지
    }else if(pathname === '/create') {
      fs.readdir('./data', function(err, filelist){
        var title = 'WEB - create';
        var list = template.list(filelist);
        var html = template.html(title, list,
          '',
          `
          <form action="/create_process" method="post">
            <p><input type="text" name="title"
              placeholder="title">
            </p>
            <p>
              <textarea name="description"
              placeholder="description"></textarea>
            </p>
            <p><input type="submit"></p>
          </form>
        `);
        response.writeHead(200);  //200: 파일을 성공적으로 전송하였음
        response.end(html);
      });
    // 4. create button을 눌러 데이터를 제출한 페이지
    }else if(pathname === "/create_process"){
      var body = '';
      request.on('data', function(data){
        body = body + data;
      });
      request.on('end', function(){
        var post = qs.parse(body);
        var title = post.title;
        var description = post.description;
        fs.writeFile(`data/${title}`, description, 'utf8',
        function(err) {
          response.writeHead(302, {Location: `/?id=${title}`});  //302: redirection. 수정된 페이지로 이동
          response.end();
        });
      });
    // 5. update 버튼을 누른 페이지
    }else if(pathname == '/update'){
      fs.readdir('./data', function(err, filelist){
        var filteredId = path.parse(queryData.id).base;
        fs.readFile(`data/${filteredId}`, 'utf8', function(err, description){
          var title = queryData.id;
          var list = template.list(filelist);
          var html = template.html(title, list,
            //form 부분
            `
            <form action="/update_process" method="post">
              <input type="hidden" name="id" value=${title}>
              <p><input type="text" name="title"
                placeholder="title" value="${title}">
              </p>
              <p>
                <textarea name="description"
                placeholder="description">${description}</textarea>
              </p>
              <p><input type="submit"></p>
            </form>
            `,
            ``);
          response.writeHead(200);  //200: 파일을 성공적으로 전송하였음
          response.end(html);
        });
      });
    //6. update 페이지에서 제출 버튼을 누른 페이지
    }else if(pathname === '/update_process'){
      var body = '';
      request.on('data', function(data){
        body = body + data;
      });
      request.on('end', function(){
        // title, description 뿐 아니라 name="id"값도 받아야 한다.
        var post = qs.parse(body);
        var id = post.id;
        var title = post.title;
        var description = post.description;
        fs.rename(`data/${id}`, `data/${title}`, function(err){
          fs.writeFile(`data/${title}`, description, 'utf8',
          function(err) {
            response.writeHead(302, {Location: `/?id=${title}`}); //302: redirection. 수정된 페이지로 이동
            response.end();
          });
        });
      });
    // 7. delete 버튼을 눌렀을 때
    }else if(pathname === '/delete_process'){
      var body = '';
      request.on('data', function(data){
        body = body + data;
      });
      request.on('end', function(){
        var post = qs.parse(body);
        // id만 받으면 된다
        var id = post.id;
        var filteredId = path.parse(id).base;
        fs.unlink(`data/${filteredId}`, function(error){
          response.writeHead(302, {Location: `/`});
          response.end();
        });
      });
    // 8. 그 외 페이지
    }else{
      response.writeHead(404);  //404: 파일을 찾을 수 없음
      response.end('Not found');
    }
});
app.listen(3000);