위치 공개 (주요정보통신기반시설 기술적 취약점 분석 평가 방법 상세가이드)

(해당 취약점은 이전에 설명한 취약점에서 공격 방법이 충분히 유추가 가능하므로 기준과 취약점 설명만 하도록 하겠습니다.)

기준

취약점 설명

서버 내에 예측 가능한 폴더 혹은 불필요한 파일이 존재하는 경우 발생하는 취약점입니다.

 

해당 취약점은 공격자가 쉽게 예측가능한 파일이나 폴더 위치를 악용하여 정보를 획득하고 민감 데이터에 접근할 수 있는 매우 위험한 취약점입니다.

 

루트 디렉터리 내에 불필요한 확장자, 웹 서비스 내 샘플페이지, 검색사이트를 통한 정보 공개로 취약점을 찾을 수 있다.

 

예로 각각 취약점에서 찾을 수 있는 내용을 업로드해보도록 하겠습니다.

 

루트 디렉터리 내 불필요한 확장자 : .bak, .backup, .org, .old, .zip, .log, .sql, .new, .txt, .tmp, .temp

샘플페이지 : cgi-bin, manual, usage, iissamples, scripts, iisHelp, IISAdmin, _vit_bin, Printers, phpinfo.php, examples, jsp, servlets

검색사이트 : Baidu, Binsearch, Bing, DuckDuckGo, ixquick/Startpage, Google, Shodan, PunkSPIDER 등

 

위에 올려놓은 경우 말고도 여러 가지 방법이 존재하는데 기본 페이지 혹은 기본 파일이 예측 가능한 경우 취약할 수 있습니다.