[윈도우 보안] 서비스 관리 - IIS 상위 디렉토리 접근 금지

[윈도우 보안] 서비스 관리 - IIS 상위 디렉토리 접근 금지

■ 대상 OS : Windows NT, 2000, 2003, 2008

■ 취약점 개요

    - 상위경로로 이동하는 것이 가능할 때 하위경로에 접속하여 상위로 이동함으로써 해킹을 당할 위험이 있으며, Unicode 버그 및 서비스 거부 공격에 이용당하기 쉬우므로 되도록이면, "."와 같은 상위 경로를 사용하지 못하도록 설정하는 것이 바람직함.

      "." 는 Unicode 버그, 서비스 거부와 같은 공격에 쉽게 이용되므로 허용하지 않는 것을 권장함.

■ 보안대책

    - 양호 : 상위 패스 기능을 제거한 경우

    - 취약 : 상위 패스 기능을 제거하지 않은 경우

      ※ 조치 시 마스터 속성과 모든 사이트에 적용함

■ 조치방법

    - 사용하지 않는 경우 IIS 서비스 중지, 사용할 경우 Everyone 에 모든 권한, 수정 권한, 쓰기 권한 제거 후 Administrators, System 그룹 추가(모든 권한)

■ 보안설정 방법

    1. 인터넷 정보 서비스(IIS) 관리 -> 해당 웹 사이트 -> 속성 -> 홈 디렉토리 -> 구성

        [옵션] 탭에서 "부모 경로 사용" 설정 확인

    2. 인터넷 정보 서비스(IIS) 관리 -> 해당 웹 사이트 -> 등록 정보 -> 홈 디렉토리 -> 구성

        [옵션] 탭 선택 후 "부모 경로 사용" 의 체크박스 활성 해제

    3. IIS 7.0

        - 인터넷 정보 서비스(IIS) 관리자 -> 해당 웹 사이트 -> IIS -> ASP 선택

           "부모 경로 사용" 항목에서 설정 확인

          - 인터넷 정보 서비스(IIS) 관리자 -> 해당 웹 사이트 -> IIS -> ASP 선택

             "부모 경로 사용" 항목을 "False"로 설정 변경

■ 조치 시 영향

    - 애플리케이션에서 "../" 와 같이 상대경로를 사용하도록 코딩되어 있을 경우 영향 있음

※ 문의 사항은 메일 : jyuhm@sntkor.com 이나 070-8611-4853

문의 사항 남기기