정상혁의 개발수첩

Mon, 14 May 2012 11:16:01 +0900

Security

Mon, 07 May 2012 09:49:05 +0900

http://www.owasp.org/index.php/WebScarab_Getting_Started

Smart iframe attack

First Line of Defense for Web Applications..

http://blog.stochastictechnologies.com/secure-authentication-over-http

SQL Injection

국내:
http://news.naver.com/main/read.nhn?mode=LSD&mid=sec&sid1=101&oid=008&aid=0002002908

http://news.naver.com/main/read.nhn?mode=LSD&mid=sec&sid1=105&oid=029&aid=0001951580

국외:
http://www.pcworld.com/businesscenter/article/146048/mass_sql_injection_attack_targets_chinese_web_sites.html

http://www.technewsworld.com/story/Mass-SQL-Attack-a-Wake-Up-Call-for-Developers-62783.html?welcome=1209498513&welcome=1210717878

http://www.theregister.co.uk/2008/05/21/china_sql_injection_attack/

http://erratasec.blogspot.com/2007/08/sidejacking-with-hamster_05.html

Tool

burp suite , Hamster

네트워크 취약점 도구 : Nmap, Sscan, Mscan, Nessus

Network 보안

Switch Jamming : 위조된 MAC 주소를 지속적으로 네트워크에 전송하여 스위치 장비를 비정상적으로 동작시키는 공격. 스위칭 호브의 주소테이블을 넘치게 함. 대부분의 스위치 장비는 주소 테이블이 가득차게 되면 모든 네트워크 세그먼트로 트래픽을 보로드캐스팅하는 문제점이 있음.

ARP Redirect : 위조된 ARP Reply 패킷을 네트워크에 전송하여 공격자 호스트를 라우터인 것처럼 가장하는 공격

ARP Spoofing : 스니핑 하고자하는 호스트의 MAC주소로 ARP reply패킷을 가장하는 공격

ICMP Redirect : ICMP Redirect ㅔ시지를 이용하여 라우터로 가장하는 공격

IP 관련 취약점

Land attack : Source Address와 Destination Adress를 동일하게 위조하여 패킷을 보내 시스템 자원을 고갈시키는 DoS공격

DoS

Smurf attack : Victim의 주소로 위장한 공격자가 ICMP Echo패킷을 네트워크에 브로드캐스팅하여 네트워크의 모든 호스트로부터 Reply를 받게하는 공격기법

SYN Flooding : 존재하지 않는 호스트의 주소로 위장하여 SYN 패킷을 지속적으로 전송하여 Backlog 큐를 고갈시켜 더 이상의 서비스를 불가능하게 하는 기법

UDP Flooding : 송신자의 주소를 속여 UDP패킷을 보내 루프를 생성하여 네트워크 트래픽을 증가시키는 공격기법

ACL (Access Control List)

Linux Security

/etc/securetty 파일의 tty1, tty2와 vc/1, vc/2 이외의 값은 주석 처리

- /etc/securetty 파일의 설정을 변경하여 시스템에 접근 가능한 터미널에 수를 제한하기 위한 조치
B. /etc/profile의 ‘TMOUT’를 32400으로 설정
- root 사용자의 idle time 설정을 변경하여 자동 로그아웃하기 위한 설정임.
C. SSH(포트 22번)는 IP접근 제어
- iptables에 ssh 접근제어 룰 추가 또는 /etc/hosts.allow, /etc/hosts.deny 파일에 접근 제어할 IP 추가

시스템 보안 영역 & 네트워크 보안 영역
A. /etc/issue 파일 내용을 삭제
- 시스템 OS 버전 / 호스트명 정보의 노출을 예방하기 위함.
B. boot/grub/grub.conf, /etc/lilo.conf 파일에 immutable 속성 설정
- 부트로더의 내용이 변경되는 것을 예방함
C. /etc/xinetd.d에서 telnet 서비스 실행 중지
- Telnet 서비스(23번 포트)가 실행 중임. Telnet 서비스는 보안상 취약한 서비스이므로 사용하지 않을 것을 권고

A. 파일 퍼미션 644 : /etc/passwd
B. 파일 퍼미션 400 : /etc/shadow
C. 파일 퍼미션 644 : /etc/group
D. 파일 퍼미션 400 : /etc/gshadow
A. SUID, SGID를 제거 : /usr/bin/chage
B. SUID, SGID를 제거 : /usr/bin/gpasswd
C. SUID, SGID를 제거 : /usr/bin/wall
D. SUID, SGID를 제거 : /usr/bin/chfn
E. SUID, SGID를 제거 : /usr/bin/chsh
F. SUID, SGID를 제거 : /usr/bin/newgrp
G. SUID, SGID를 제거 : /usr/bin/write
H. SUID, SGID를 제거 : /usr/sbin/usernetctl
I. SUID, SGID를 제거 : /bin/mount
J. SUID, SGID를 제거 : /bin/umount
K. SUID, SGID를 제거 : /sbin/netreport"

Design Pattern

Sun, 29 Apr 2012 00:41:07 +0900

시스템을 설계시 재사용 가능한 해결책을 말한다.

Design Pattern 분류

Design Priciples and Patterns

http://addyosmani.com/resources/essentialjsdesignpatterns/book/#designpatternsjavascript

GOF Patterns

http://www.scribd.com/doc/9973578/Design-Patterns-Explained-With-Java-and-Uml2-2008

종합

http://www.briandupreez.net/2010/11/design-patterns-in-jdk.html

http://refcardz.dzone.com/refcardz/design-patterns

http://www.mcdonaldland.info/2007/11/28/40/

Singleton

http://blog.naver.com/eugene70/80001509250

Implementing the Singleton Pattern in Java : http://radio.weblogs.com/0122027/stories/2003/10/20/implementingTheSingletonPatternInJava.html

Factory Method

Head first 의 설명

팩토리 메소드 패턴에서는 객체를 생성하기 위한 인터페이스를 정의하는데, 어떤 클래스의 인스턴스를 만들지는 서브클래스에서 결정하게 만듭니다. 팩토리 메소드패턴을 이용하면 클래스의 인스턴스를 만드는 일을 서브클래스에게 맡기는 것이죠.

Simple Factory가 Factory Pattern은 아니다.

http://cafe.naver.com/thejune.cafe?iframe_url=/ArticleRead.nhn%3Farticleid=5

Visitor

http://whiteship.tistory.com/2598

http://javacan.tistory.com/entry/VisitorPatternPT

http://younghoe.info/165
http://www.buggymind.com/24
더블 디스패치 : http://home.postech.ac.kr/~skyul/visitor_and_dynamic_dispatch/visitor_and_dynamic_dispatch.html

http://community.jboss.org/wiki/ProxyVisitorPattern

State

http://javacan.tistory.com/entry/%ED%8C%A8%ED%84%B4-%EC%8A%A4%ED%84%B0%EB%94%94-%EB%B0%9C%ED%91%9C-%EC%9E%90%EB%A3%8C-Pattern

Mediator

http://javacan.tistory.com/entry/%ED%8C%A8%ED%84%B4-%EC%8A%A4%ED%84%B0%EB%94%94-%EB%B0%9C%ED%91%9C-%EC%9E%90%EB%A3%8C-Pattern

Observer

한 객체의 상태가 바뀌면 그 객체에 의존하는 다른 객체들에게 연락이 가고 자동으로 내용이 갱신되는 방식으로 일대다 의존성을 정의한다.

java.util.Observer, java.util.Observable 존재

JDK에서는 Swing의 JButton

Spring batch의 JobExecutionListener

GOF 디자인 패턴을 이용한 Java Web Architecture :

http://blog.naver.com/hny76/100008549995

http://www.vincehuston.org/dp/

Architecture & Design 마을 in DevPia.com : http://www.devpia.com/AnD.MAEUL

Design Patterns in the VSM

http://web.comlab.ox.ac.uk/people/Jeremy.Gibbons/dpa/typeobject.pdf

Composite

Composite 패턴 적용 사례 공유

Strategy

패턴 스터디 발표 자료 - Delegation & Strategy

Value Object

http://aeternum.egloos.com/1899296

Decorator

객체에 추가적인 요건 추가. 서브 클래스를 만들어서 기능을 유연하게 확장하는 방법을 제공.

jdk 예제 : java io InputStream

Test framework

Sat, 28 Apr 2012 04:23:10 +0900

테스트 자동화 도구들

The unit testing gap

http://www.unitils.org/summary.html

test automation frameworks.pdf

테스트 자동화는 왜 실패하는가 ?

테스팅 프레임워크는 직접 만들어 써보자

xUnit

기본 Unit test

Junit

Junit 기반의 성능테스트

http://www.clarkware.com/software/JUnitPerf.html

http://labs.carrotsearch.com/junit-benchmarks-tutorial.html

http://code.google.com/p/junitbench/

http://databene.org/contiperf.html

Nunit

http://unit.org
.NET을 위한 단위 테스트

MbUnit

http://www.mbunit.org
NUnit을 기반으로 고수준의 테스트 기술을 모음

dbunit

http://dbunit.sourceforge.net/
- http://dbunit.sourceforge.net/faq.html#extract

[JAVA] DBUnit 엑셀파일(.xls) import & export

AgitarOne

http://www.agitar.com/

JUnit 테스트 코드 생성 도구 AgitarOne - 소개

JUnit 테스트 코드 생성 도구 AgitarOne - 설치 및 실행

JUnit 테스트 코드 생성 도구 AgitarOne - 테스트 코드 생성하기

JTest

http://www.parasoft.com/jsp/home.jsp

더 많은 테스트 지원 소프트웨어들

http://www.xprogramming.com/software.htm

http://www.testingfaqs.org/t-unit.html

마이크로소프트웨어 3월호 : 통합_테스트를_위한_프레임워크_FIT.pdf

정규화

Thu, 26 Apr 2012 05:42:50 +0900

정규화

불필요한 데이터의 중복을 제거하여 데이터모형을 단순화하는 작업으로 다양한 검사를 통하여 데이터모델을 보다 구조화하고 개선시켜 나가고자 하는 일련의 과정

정규화의 목적

자료 저장 공간의 최소화,

DB내 데이터의 불일치 위험을 최소화

자료의 수정, 삭제에 따른 예기치 않은 오류의 최소화하여 데이터구조의 안정성 최대화

정규화의 문제점

정규화로 인한 테이블의 개수 증가로 인하여 Join이 많이 발생하여 응답속도의 지연이 있을 수 있음
특정시점의 정보를 표현하기 위해 이력관리 엔티티의 발생 및 업무규칙 수용 난이도가 증가
제 3정규화 이상의 정규화를 수행 하는 경우 데이터 공간의 비효율적인 활용이 발생할 수 있습니다.

정규화 단계

제1차 정규화

반복 또는 복수 값을 갖는 속성의 제거.

반복적인 그룹 속성제거, 키추가, 1대 N 관계로 만든다.

제2차 정규화

부분함수종석 제거

기본키(Primary Key)에 종속되지 않는 속성, 즉 기본키의 일부에만 종속되는 속성의 제거. 즉 모든 속성은 반드시 엔티티 식별자에 전부 종속되어야 한다. 복합키일때

제 3차 정규화

이행함수 종석 제거.

기본키가 아닌 속성에 종속적인 속성의 제거. 키가 아닌 속성끼리 종속관계가 있을 경우 이를 별도의 테이블로 분리. 삽입이상, 삭제이상 제거.

제4차 정규화

특정 속성값에 따라 선택적인 속성의 제거

보이스-코드 정규화

여러 개의 후보 키(주 키가 될 수 있는 속성)가 존재하는 경우에는 속성간의 종속이 남아있을 수 있다.

참고자료

정규화(Normalization) 실습

Spring batch admin

Wed, 18 Apr 2012 19:46:59 +0900

http://static.springsource.org/spring-batch-admin/getting-started.html

https://src.springframework.org/svn/spring-batch-admin/tags/1.0.0.RELEASE/spring-batch-admin-parent/pom.xml

소스

https://github.com/SpringSource/spring-batch-admin/blob/master/spring-batch-admin-manager/src/main/resources/META-INF/spring/batch/bootstrap/manager/data-source-context.xml

Bootstrap

https://github.com/SpringSource/spring-batch-admin/tree/master/spring-batch-admin-manager/src/main/resources/META-INF/spring/batch/bootstrap

Linux

Sat, 14 Apr 2012 16:51:55 +0900

http://www.columbia.edu/~thl2102/linuxrefcard.pdf

echo $SHELL

setenv JRE_HOME /home1/benelog/java/jre1.6.0_07

리눅스에 마운트 된 디렉토리 설명

각 쉘들이 시작할때 읽어드리는 파일

bash의 환경설정파일

Ceph: 페타바이트 규모의 Linux 분산 파일 시스템

Linux 학습, 기초 과정: 하드 디스크 레이아웃

http://www.webmin.com/

용량구하기

디렉토리 용량

du -abch | grep -v "./"

서버정보

uname -a

포트

netstat -anp | grep :80

nmap localhost

행바꿈 바꾸기

perl -i -pe's/\r$//;' <file name here>

wget

Wget으로 웹사이트 통째로 다운로드

rcp

rcp id@server:/home1/benelog/score.month score.month

rm

...rm에 대한 alias를 '"rm -i"로

rm 을 mv

http://code.google.com/p/trash-cli/

Kernel

I/O multiplexing : http://www.mimul.com/pebble/default/2012/03/21/1332303327316.html

HTML5

Mon, 09 Apr 2012 09:15:27 +0900

http://manuel.kiessling.net/2012/04/02/tutorial-developing-html5-canvas-games-for-facebook-with-javascript-part-1/

HTML5

HTML 5.0 http://www.creation.net/work/html5/html4-differences/

HTML V5 and XHTML V2

HTML5에서 미디어 포맷 논쟁 중…

[블로터포럼] HTML5가 개발자에게 '기회의 땅'인 이유

HTML 5 Web SQL Database

HTML5를 사용하여 모바일 장치 웹 애플리케이션 작성하기

http://webstandards.or.kr/html5

http://channy.creation.net/blog/803

HTML5 동영상 쉽게 공유하기

HTML5 학습하기

http://www.webdesignish.com/8-best-websites-to-get-everything-about-html5.html

http://www.dzone.com/links/r/15_great_html5_website_templates_for_your_next_pr.html

http://diveintohtml5.org/video.html

기능지원현황 : http://caniuse.com/

WebSocket

WebSocket 기반 쌍방향 메시징

LocalStorage

http://nundefined.tistory.com/24

Eclipse에서 테스트 코드 작성을 편하게 하는 설정

Thu, 05 Apr 2012 19:09:00 +0900

Static Import 설정

Organize import (Ctrl + Shift + O) 해도 static import의 *가 풀리지 않도록 하는 설정. Junit4 이후의 assert나, mock library, matcher 등을 사용하는데 필수적

Windows-Preference-Orgnize import의 Number of static imports... 를 1로

TEST 메소드와 Import에 대한 Template 설정

Window-Preference-Java-Editors-Template에 자주 쓰는 템플릿을 추가한다.

'name' 으로 정한 문자열을 치고 Ctrl + Space를 누르면 Template 내용이 자동입력 된다.

Test 메소드 추가

테스트 메소드를 추가할 때 필요한 library import로 메소드 선언을 한꺼번에 해주는 템플릿이다.이름을 spec으로 지정해서 쓰고 있다.

@${testType:newType(org.junit.Test)}

public void ${specDescription}() {

// given ${cursor}

// when

// then

${staticImport:importStatic('org.junit.Assert.*', 'org.mockito.BDDMockito.*', 'org.hamcrest.CoreMatchers.*')}

}

Test 라이브러리 import

위의 메소드 추가 template에서 해주는 일 중 import를 하는 부분만 수행해준다. ti라는 이름으로 지정해서 쓰고 있다. (http://wiki.kwonnam.pe.kr/java/junit/staticimports 에서 참조했습니다.)

${is1:importStatic('org.hamcrest.CoreMatchers.*')}${is2:importStatic('org.junit.Assert.*')}${is5:importStatic('org.mockito.Mockito.*')}

Spring test 지원 Annotation 추가

Junit4에서 Spring의 Application context를 올리는 테스트를 할 때 필요한 Annotation과 import 선언을 추가해주는 Template이다. 'springtest'라는 이름으로 지정해서 쓰고 있다.

${:import('org.junit.runner.RunWith','org.springframework.test.context.ContextConfiguration','org.springframework.test.context.junit4.SpringJUnit4ClassRunner')}
@RunWith(SpringJUnit4ClassRunner.class)
@ContextConfiguration(locations = { "/applicationContext.xml"})

Mockito

Before

참고자료

Favorite 설정

자주 쓰는 static import 등록할 수 있음. 여기에 등록하면 미리 해당 라이브러리를 static import하지 않아도 Conentnt assist(Ctrl + Space)에서 에서 나오게 됨

Windows-Preference-......- Favorites

Favorites에 등록을 추천하는 클래스
- org.junit.Assert.*
- org.hamcrest.CoreMatchers.*
- org.mockito.Mockito.*
- org.mockito.BDDMockito.*
- org.mockto.Matchers.*

자동생성되는 메소드에 UnsupportedOperationException 던지기 설정

자동생성 되어서 아직 구현되지 않은 메소드를 test fail로 인식하게 함 ( http://toby.epril.com/?p=706 참고)

Preference – Java – Code Style – Code Templates 안에 Code/Method Body에 아래 코드추가

throws new UnsupportedOperationException();

테스트 코드 짤 때 자주 쓰는 단축키

코드 생성

Ctrl+ 1 : Quick fix
Ctrl + Shift + O : import 절에 없는 클래스를 추가하거나 정리

테스트 실행

Alt + Shift + X, T : JUnit으로 실행
Ctrl + F11 : Run (JUnit 실행 가능)

코드 사이를 이동

Ctrl + J : 테스트 코드와 실제 코드 사이를 이동 (moreUnit이 설치되어 있을 때)
Ctrl + Q : 가장 마지막에 편집한 코드가 있는 곳으로 돌아가기
Ctrl + T : 인터페이스에서 구현 클래스 찾을 때
Ctrl + Shift + 위아래 방향키 : method 단위로 커서 이동(method 하나만 test 실행할 때 사용 하기 좋음

리팩토링

Alt + Shift + R : 리팩토링 이름 바꾸기
Alt + Shift + V : 리팩토링 – 이동
Alt + Shift + M : 리팩토링 – 메소드 추출
Alt + Shift+ L : 리팩토링 local 변수 추출

More Unit

테스트 코드와 실제코드 사이를 왔다갔다 할 수 있게 하는 Eclipse plugin. TDD의 리듬 유지에 도움이 됨

update site : http://moreunit.sourceforge.net/

Maven을 쓰고 있다면 설치후 Window-Preference-More Unit에서 아래 설정을 추가하는 것이 좋다.

Directory for testcases : src/test/java
Test Suffixes : Test

Eclemma

Eclipse 내에서 Code Coverage 측정. http://benelog.egloos.com/2212119 참조

update site : http://www.eclemma.org/

Quartz Spring

Thu, 05 Apr 2012 09:20:04 +0900

http://nurkiewicz.blogspot.com/2012/04/configuring-quartz-with-jdbcjobstore-in.html

extends QuartzJobBean

SimpleTriggerBean

CronTriggerBean

http://forum.ksug.org/viewtopic.php?f=7&t=404

Spring활용

Trigger->jobDetail(org.quartz.JobDetail)

JobDetailBean은 extends JobDetail

jobDataAsMap을 통해 Job

QuartzJobBean은 Job을 implement

org.springframework.scheduling.quartz.MethodInvokingJobDetailFactoryBean

org.springframework.scheduling.quartz.JobDetailBean

을 상속한 클래스 또는

Java Ftp Client

Wed, 04 Apr 2012 17:43:19 +0900

FTP Spec

List of raw FTP commands

다양한 FTP library 소개

Java FTP Tips

Java FTP client libraries reviewed

Update: Java FTP libraries benchmarked

http://javacan.tistory.com/113

ftp Client

java 로 ftp client 만들기　

FTP 파일업로드

FTP서버에서 파일 다운로드하는 간단한 예제

Commons net FTP

Jakarta Commons Net을 사용한 FTP 파일 송수신

Commons net을 이용한 FTP접속

Jakarta Commons Net 에서 FTP 사용시 목록이 안보일 경우

Applet

http://java-ftp-applet.qarchive.org/

http://www.brothersoft.com/downloads/ftp-java-applet.html

정상혁의 개발수첩

정상혁의 개발수첩

Security

SQL Injection

http://erratasec.blogspot.com/2007/08/sidejacking-with-hamster_05.html Tool

Network 보안

IP 관련 취약점

DoS

Linux Security

hash dos

IIS

PHP

Design Pattern

GOF Patterns

종합

Singleton

Factory Method

Visitor

State

Mediator

Observer

Composite

Strategy

Value Object

Decorator

Test framework

기본 Unit test

Junit

Junit 기반의 성능테스트

Nunit

MbUnit

dbunit

AgitarOne

JTest

더 많은 테스트 지원 소프트웨어들

정규화

정규화

정규화의 목적

정규화의 문제점

정규화 단계

제1차 정규화

제2차 정규화

제 3차 정규화

보이스-코드 정규화

참고자료

Spring batch admin

Linux

용량구하기

서버정보

포트

행바꿈 바꾸기

wget

rm

Kernel

HTML5

HTML5

WebSocket

LocalStorage

Eclipse에서 테스트 코드 작성을 편하게 하는 설정

Static Import 설정

TEST 메소드와 Import에 대한 Template 설정

Test 메소드 추가

Test 라이브러리 import

Spring test 지원 Annotation 추가

참고자료

Favorite 설정

자동생성되는 메소드에 UnsupportedOperationException 던지기 설정

테스트 코드 짤 때 자주 쓰는 단축키

More Unit

Eclemma

Quartz Spring

Spring활용

Java Ftp Client

FTP Spec

다양한 FTP library 소개

Commons net FTP

Applet

http://erratasec.blogspot.com/2007/08/sidejacking-with-hamster_05.html

Tool