[웹 취약점 진단/모의해킹/해킹] 디렉터리 인덱싱
- 정보보안/웹 취약점 진단
- 2022. 9. 6.
DI - 디렉터리 인덱싱
■ 점검내용
웹 서버 내 디렉터리 인덱싱 취약점 존재 여부 점검
■ 점검목적
디렉터리 인덱싱 취약점을 제거하여 특정 디렉터리 내 불필요한 파일 정보의 노출을 차단
■ 보안위협
해당 취약점이 존재할 경우 브라우저를 통해 특정 디렉터리 내 파일 리스트를 노출하여 응용시스템의 구조를 외부에 허용할 수 있고, 민감한 정보가 포함된 설정 파일 등이 노출될 경우 보안상 심각한 위험을 초래할
수 있음
■ 참고
※ 디렉터리 인덱싱 취약점: 특정 디렉터리에 초기 페이지 (index.html, home.html, default.asp 등)의 파일이 존재하지 않을 때 자동으로 디렉터리 리스트를 출력하는 취약점
점검대상 및 판단기준
■ 대상 : 웹 서버
양호
디렉터리 파일 리스트가 노출되지 않는 경우
취약
디렉터리 파일 리스트가 노출되는 경우
■ 조치방법
웹 서버 설정을 변경하여 디렉터리 파일 리스트가 노출되지 않도록 설정
점검 및 조치 방법
■ 점검방법
Step 1) URL 경로 중 확인하고자 하는 디렉터리까지만 주소창에 입력하여 인덱싱 여부 확인
Step 2) 디렉터리 끝에 %3f.jsp 문자열을 붙여 디렉터리 인덱싱이 되는지 확인
■ 보안설정방법
* 웹 서버 환경설정에서 디렉터리 인덱싱 기능 제거
※ 웹 서버 별 상세 설정
∎ Apache
| httpd.conf 파일 내 DocumentRoot 항목의 Options에서 Indexes 제거 Indexes가 해당 디렉터리의 파일 목록을 보여주는 지시자임 설정 전 <Directory “/var/www/html”> Options Indexes </Directory> 설정 후 <Directory “/var/www/html”> Options </Directory> |
∎ IIS 7.0
설정 > 제어판 > 관리도구 > “인터넷 서비스 관리자” 선택 후 해당 웹 사이트에서 우클릭 후 등록 정보 > [홈 디렉터리] 탭 > [디렉터리 검색] 체크 해제
∎ IIS 7.5/8.0/8.5/10.0
IIS(인터넷 정보 서비스) 관리자 > [해당 웹 사이트] > [IIS] > [디렉터리 검색] 선택 우측의 [사용 안 함] 버튼을 눌러 비활성화
∎ WebtoB 설정
Step 1) ${WEBTOBDIR}/config/http.m 파일 Options 항목에서 index 옵션 삭제 또는, –index 옵션으로 설정 ( default: -index )
Step 2) ${WEBTOBDIR}/config/http.m에서 확인
| # ${WEBTOBDIR}/config/http.m *NODE GuideSample WEBTOBDIR=”/home/user/webtob”, SHMKEY = 54000, DOCROOT=”/home/user/webtob/docs”, PORT = “8080”, HTH = 1, LOGGING = "log1", ERRORLOG = "log2", Options = “-index" |
Step 3) 확인 후 설정파일 컴파일 및 재구동
# wscfl -i http.m (http.m 파일 컴파일)
# wsdown
# wsboot (재구동)
∎iPlanet
Step 1) 관리자 콘솔에서 설정 (※ 1번 또는, 2번 방법 중 선택 적용)
관리자 콘솔 > Server Name > Virtual Server Class > Class Manage > Content Mgmt > Document Preferences > Directory Indexing 항목 "None" 설정
Step 2) 설정 파일에서 설정
/[iPlanet Dir]/https-[Server_name]/config/obj.c
∎%3f.jsp 취약점 제거
웹 서버를 Apache로 사용한다면 아래와 같이 설정하여 %3f.jsp 문자를 필터링해야 하며, Resin이나 Tomcat을 사용한다면 최신 버전으로 업그레이드함
| <LocationMatch “/(%3f|\?)\.jsp”> AllowOverride None Deny from all </LocationMatch> |
Resin 2.1.x 버전은 최신 버전으로 업그레이드하거나 아래와 같이 설정할 수 있음
Step 1) Resin 환경설정 파일 (resin.conf)에서 가상 디렉터리 설정 부분인 “web-app id”를 찾음
Step 2) 아래 내용 추가
<directory-servlet>none</directory-servlet>
※ 주의할 점: 모든 가상 디렉터리에 적용 필요
■ 조치 시 영향 : 일반적인 경우 영향 없음