08. 디렉터리 인덱싱

취약점 소개

---

웹 서비스 초기 페이지(index.html, home.html, default.asp, ...)의 파일이 존재하지 않을 경우, 서버 상의 설정 미흡으로 웹 서버 디렉터리 리스트가 화면에 출력되는 취약점.

 

판단 기준

---

디렉터리 파일 리스트가 웹 상에 출력(노출)되는 경우

 

점검 사례

---

- URL 경로 중 확인하고자 하는 디렉터리까지만 주소창 입력하여 인덱싱 여부 확인

- 디렉터리 끝에 %3f.jsp 문자열을 붙여 디렉터리 인덱싱이 되는지 확인

 

피해 가능성

---

- 소스코드(Server Side Script) 노출로 파일이 공개(DB의 정보 확인 가능, ..., 중요정보)

- 중요문서(디렉터리 비밀문서, 설계도, 백업 파일, ...) 공개

- 웹 서버의 다른 디렉터리 파일 확인 및 접근 시도 가능성

- 불필요한 정보 노출(서버나 웹 애플리케이션, ...)

- ...

 

보안 설정

---

- 웹 서버 별 환경에 따라서 디렉터리 인덱싱 기능 제거

- %3f.jsp 취약점 제거 및 필터링, ...