MS IIS 파일 확장자 처리오류 취약점 주의 > 온라인강의

본문 바로가기
 
 
 
오늘 361
어제 2,076
최대 2,454
전체 3,137,786
비즈니스의 시작 비즈명함 ~ 가격, 품질, 배송 3가지 만족을 드리는 비즈명함 / 즉석명함 / 급행서비스 / 서울 전지역 수도권일부 3시간배송

온라인강좌 홈 > 온라인강좌 > 온라인강좌

윈도우서버 | MS IIS 파일 확장자 처리오류 취약점 주의

페이지 정보

작성일2012-06-11 14:27 조회6,501회 댓글0건

본문

□ 개요
   o 마이크로소프트사의 IIS(Internet Information Service)에서 파일 확장자 처리오류로 인한
     보안우회 취약점이 발견됨[1,2,3]
   o 현재 해당 취약점에 대한 보안 업데이트가 발표되지 않았으며 IIS는 국내에서 많이 이용되기
     때문에 해당 서버 관리자는 보안 업데이트가 발표되기 전까지 주의를 요함
 
□ 영향을 받는 시스템
   o Microsoft Internet Information Services 6.x 이하의 모든 버전
 
□ 영향을 받지 않는 시스템
   o Microsoft Internet Information Services 7.5
 
□ 취약점 설명
   o 마이크로소프트의 IIS에서 세미콜론을 이용한 파일 확장자 처리오류를 통해 공격자는
     임의의 파일(웹쉘, Exploit 코드 및 각종 실행파일 등)을 실행할 수 있음 [1,2,3] 
     - 예를 들어 IIS는 "malicious.asp;.jpg" 파일을 ASP 파일로 처리하여 실행
     - 특히 대부분의 파일 업로드 보호 시스템은 파일의 마지막 확장자(JPG)만을 확인하여
       업로드하기 때문에 쉽게 업로드가 가능
 
□ 영향
   o 만약 상기 취약점을 이용하여 공격한 경우 공격자는 취약한 웹서버의 파일 업로드 기능을
     이용하여 웹쉘을 업로드 및 실행한 후 웹서버에 대한 완벽한 권한을 취할 수 있음
   o 또한 악의적인 파일을 업로드한 후 인터넷 사용자의 클릭을 유도하여 사용자 PC에 악성코드를
     감염시킬 수 있음
 
□ 임시 조치방법
   o 파일의 이름 및 확장자를 랜덤한 문자열로 치환하여 업로드 되도록 함 [3]
     ※ 사용자가 입력한 파일이름으로 업로드 되지 않도록 함
   o 업로드 파일 디렉토리에 대한 실행 권한을 해제 [3]
     ※ 설정방법 (Windows 2003 사용자 환경의 예)
      - “제어판 > 관리 도구 > 인터넷 정보 서비스(IIS) 관리”에서 업로드 폴더의 속성 클릭
      - “디렉터리 탭”의 “실행 권한”을 “없음”으로 설정

□ 용어 정리
   o IIS(Internet Information Service): 인터넷정보서비스라 불리며 마이크로소프트 윈도우즈를
     사용하는 서버들을 위한 인터넷 기반 서비스
   o ASP(Active Server Script): 마이크로소프트사에서 개발한 서버 측의 스크립팅 환경
□ 기타 문의사항
   o 보안업데이트는 언제 발표되나요?
     - MS의 공식 보안업데이트 일정은 발표되지 않음, 발표될 경우 KrCERT 홈페이지를 통해
       신속히 공지할 예정입니다
   o 한국인터넷진흥원 인터넷침해대응센터: 국번없이 118
 
□ 참고사이트


참고사이트
http://hacked.tistory.com/438
  • 페이스북으로 보내기
  • 트위터로 보내기
  • 구글플러스로 보내기

댓글목록

등록된 댓글이 없습니다.


목록

Total 56건 1 페이지
온라인강의 목록
번호 제목
56
55
54
53
52
51
50
49
윈도우서버 HTTP/1.1 새 세션 실패 (write.2015-03-10)인기글  Hit.4020
48
47
46
45
44
43
윈도우서버 IIS 응용 프로그램 풀 (write.2013-10-02)인기글  Hit.7656
42
41
윈도우서버 [Windows 2012] VPN 설정 (write.2013-05-14)인기글  Hit.7296
40
윈도우서버 [Windows 2008] VPN 설정 (write.2013-05-14)인기글  Hit.4169
39
38
37
36
열람중
34
33
32
게시물 검색
 
 
상호: 해피정닷컴 대표:정창용 사업자등록번호:119-05-36414 (08394) 서울시 구로구 디지털로 242 한화비즈메트로1차 1502호
전화: 070-7600-3500 팩스:02-865-3528 개인정보관리:정창용 mail@happyjung.com 에스크로확인
개인정보취급방침
COPYRIGHT 2001~2017 해피정닷컴. All rights reserved. 부가통신사업신고:서울체신청-1217 통신판매신고:2014-서울구로-0074
 
모바일 버전으로 보기