SAP ABAP에서 백도어 주입 취약점을 유발하는 코드

Question

코드 SY-UNAME == "anyname"을 사용하고 임의의 사용자 이름 값을 제공하면 백도어 주입 취약점이 있습니다. 이 문제를 해결할 수있는 방법이 있습니까?

Answer 1

예. 그러한 코드를 사용하지 않는 것이 규칙입니다. 좋은 프로그래밍이 아닙니다. 그러한 코드가 필요하게 될 이유는 없습니다. 프로그램에 대한 액세스를 제한해야하는 경우에는 권한 객체를 기반으로 제한하거나 바람직하게는 필요한 역할에 따라 역할을 제한하는 것이 이상적입니다.

Answer 2

이러한 구조는 개발 시스템의 개발자가 실험 코드를 사용하여 다른 사용자에게 영향을주지 않도록 자주 사용됩니다. QA 및 프로덕션으로 전송하기 전에 이러한 항목이 제거되도록하려면 코드 검사자 (트랜잭션 SCI)에 대한 사용자 지정 규칙을 만들고 코드 검토 프로세스에서 변경 내용을 이동하기 전에 코드 관리자를 실행해야합니다.

This blog은 이러한 규칙을 만드는 방법을 설명합니다.