안전하지 않은 로깅 취약점

설명

로그는 장애 원인 분석이나, 프로그램 개발 또는 유지보수하는 데 유용하게 사용되는데 실행 중에 발생하는 프로그램의 

이벤트 혹은 통신 기록 중 로그 기록에 노출되면 안되는 중요한 정보가 기록되는 취약점이다.

취약점 진단

모바일 단말기에서 발생한 로그 정보를 보여주는 명령어다.

# adb logcat

① 인시큐어뱅크 로그인 화면에서 입력한 아이디와 비밀번호가 로그에 평문으로 기록된다.
② 비밀번호 변경 화면에서 입력한 패스워드가 평문으로 기록된다. 

jadx에서 Ctrl + Shift + F를 눌러 검색 입력폼에 "System.out.println", "Log." 를 입력하면 해당 메소드를 사용한 코드들이 출력된다.

대응방안

중요한 정보를 출력하는 로그 코드를 제거한다.