26. 위치 공개 WEB [PL] - 주요정보통신기반시설 기술적 취약점 분석 평가 방법 상세 가이드(2021)

가. 취약점 개요

■    내용 : 예측 가능한 폴더의 위치 사용 여부 및 불필요한 파일의 존재 여부 점검

■    목적 : 공격자가 폴더의 위치를 예측하여 파일 및 정보 획득을 방지하고자 함

보안 위협

    -      폴더나 파일명의 위치가 예측 가능하여 쉽게 노출될 경우 공격자는 이를 악용하여 대상에 대한 정보를 획득하고 민감한 데이터에 접근 가능

 

나. 점검방법

■    대상 : 웹 서버

■    판단기준

    -      양호 : 불필요한 파일이 존재하지 않고, 샘플 페이지가 존재하지 않을 경우

    -      취약 : 불필요한 파일이 존재하거나, 샘플 페이지가 존재하는 경우

■    점검방법

    Step 1) 웹 루트 디렉터리 내 웹 서비스에 불필요한 확장자 (.bak, .backup, .org, .old, .zip, .log, .sql, .new, .txt, .tmp, .temp) 파일이 존재하는지 확인

    Step 2) Step 2) 각종 샘플페이지(cgi-bin, manual, usage, iissamples, scripts, iisHelp, IISAdmin, _vit_bin, Printers,  phpinfo.php, examples, jsp, servlets)의 디렉터리 및 파일 존재 여부 확인

    Step 3) 네트워크 다이어그램 및 구성, 사용자 이름/암호, 오류 메시지 내용, 웹 사이트 개발, 테스트 및 UAT, 준비 버전, 민감한 정보를 포함한 디렉터리 검색 등 정보를 확인하고자 하는 모든 내용을 아래의 검색엔진을 사용하여 결과 확인

    ※ Baidu, Binsearch, Bing, DuckDuckGo, ixquick/Startpage, Google, Shodan, PunkSPIDER 등

      

다. 조치방법

■     웹 루트 디렉터리 이하 모든 불필요한 파일 및 샘플 페이지 삭제

■    보안설정방법

    -      robots.txt 파일 작성을 통해 검색 차단할 디렉터리, 확장자, 페이지 등을 지정할 수 있으며 HTML의 HEAD 태그 내에 META 태그를 추가하여 검색엔진의 인덱싱을 차단

    -      웹 디렉터리를 조사하여 아래의 삭제해야 할 파일 확장자에 포함된 백업 파일을 모두 삭제하고, *.txt 확장자와 같이 작업 중 생성된 일반 텍스트 파일이나 이미지 파일 등도 제거함

    -      삭제해야 할 파일 확장자 예시

*.bak	*.backup	*.org	*.old	*.new	*.txt
*.zip	*.log	*.!	*.sql	*.tmp	*.temp

   

    -      백업 파일은 백업 계획을 수립하여 안전한 곳에 정기적으로 백업해야 하며 웹 서버에서는 운영에 필요한 최소한의 파일만을 생성하여야 함

    -      웹 서버 설정 후 디폴트 페이지와 디폴트 디렉터리 및 Banner를 삭제하여 Banner Grab에 의한 시스템 정보 유출을 차단함

    -      Apache, IIS, Tomcat 등 각 웹 서버 설정 시 함께 제공되는 샘플 디렉터리 및 매뉴얼 디렉터리, 샘플 애플리케이션을 삭제하여 보안 위험을 최소화함

 

라. 조치시 영향

■    일반적으로 영향 없음