웹 보안

지니·2021년 9월 14일

대학생의 일기

목록 보기

11/17

파일 업로드 취약점

파일 업로드 기능을 악용하여 시스템 권한을 획득할 수 있는 취약점을 의미한다. 웹쉘을 업로드하여 시스템의 권한을 장악할 수 있게 된다.

웹쉘
웹 사이트의 파일 업로드 기능을 이용하여 인가 받지 않은 파일을 서버에 임의로 업로드 하는 공격이다. 주로 파일의 형식은 .asp, .php, .jsp과 같으며 이를 웹셀이라고 한다. 이러한 악성 스크립트를 올려 실행시킨 후, 웹 서버를 장악하고 피해를 주는 행위이다.

파일 업로드 취약점 진행 과정

임의의 확장자를 가진 파일 업로드
확장자 체크가 미흡하고 업로드한 파일 경로가 노출되는지 확인
악의적인 스크립트 업로드
파일 업로드 경로에 URL로 접근하여 웹쉘이 실행되는지 확인

예방법

확장자 필터링을 거치도록 해야 한다.
확장자 필터링은 항상 웹 서버측에서 진행되어야 한다. 프록시를 이용한 소스코드 조작으로 악의적인 스크립트 파일을 업로드할 수 있기 때문이다.
프록시를 이용한 소스코드 조작 예제
Document Root 이하에서 직접 접근할 수 있는 경로로 업로드 되지 않도록 구현한다. 실제 링크가 공개되지 않더라도 추측에 의해서 접근할 수 있게 된다.
의미없는 확장자를 부여할 필요가 있다. (아니면 아예 업로드하지 못하도록 제한해야 한다.)
저장 시 중복되지 않을만한 랜덤한 파일명으로 치환하고 클라이언트가 제공한 파일명은 별도로 보관해야 한다.
업로드 되는 파일 사이즈를 체크할 필요가 있다. 그렇지 않으면 저장 장치가 가득 차서 서버가 뻗을 수도 있다.
인가된 사용자에게만 업로드 허용해야 한다.
한 번에 올릴 수 있는 파일 수 제한
Permission 제한
주기적으로 업로드한 파일을 대상으로 바이러스 검사를 한다.
헤더 지정
- Content-disposition 지정 : attachment 헤더를 지정하여 브라우저로 하여금 실행 외의 파일저장이 실행되도록 유도
- Content-type 지정 : 다운로드 후 의도하지 않는 연결 프로그램이 실행되는 것을 방지

+ 확장자만 검사하는 것이 아닌, Mime-Type 또한 검사하는 과정이 필요하다.

Mime-Type
Mime은 다목적 인터넷 메일 확장이라는 뜻으로 전자우편의 데이터 형식을 정의한 표준 포맷이다. 이는 전자우편에서 사용하기 위해 등장했지만 지금은 HTTP 통신에서 전송 데이터를 표현하기 위해서도 사용하고 있다.

Java의 Mime-Type을 검사하는 라이브러리로 Apache Tika가 있다. 이는 파일의 메타 데이터와 텍스트 등을 탐지하고 추출하는데 사용되는 라이브러리다. Tika 라이브러리는 확장자가 아닌 실제 파일의 내용을 검사하여 Mime-Type을 판단하고, 파일이 존재하지 않으면 FileNotFouneException을 발생시킨다.

+ Spring Boot의 MultipartFile에서는?
Spring Boot의 MuptipartFile 또한 실제 파일의 내용을 검사하여 Mime-Type을 검사하는 것 같다.

아래와 같이 텍스트 파일을 만들고

확장자를 JPG로 바꾸어보았다.

Mime-Type을 추출할 때 file.getContentType(), 파일 확장자를 추출할 때 FilenameUtils.getExtension(file.getOriginalFilename()) 을 사용하고 출력해봤을 때...

Mime-Type 및 파일 확장자를 제대로 추출하는 것을 확인할 수 있었다.

파일 다운로드 취약점

파일 다운로드 시 경로 및 파일 명을 처리하는 경우 이를 제대로 필터링하지 않았을 때 허용되지 않은 파일을 다운받을 수 있고 임의의 위치에 있는 파일을 열람하거나 다운받는 것을 가능하도록 하는 취약점이다.

파일 다운로드를 할 수 있도록 하는

첨부 파일을 사용자에게 제공하는 방식

Dynamic 방식

URL 파라미터에 파일 이름 혹은 파일 번호를 할당하여 데이터를 처리하는 방식
ex) ... /photo?fileName=temp.png
파라미터 변조를 통해 서버의 시스템 파일 혹은 프로그램 소스에 접근할 수 있는 가능성을 가져 보안상 매우 위험하다.

Static 방식

특정 디렉터리에 파일 링크를 걸어 사용자에게 제공하는 방식
ex ) ... /photo/temp.png
파라미터 정보를 가지고 있지 않아 변조할 수 없는 안전한 구조이다.

NULL Byte Injection

NULL Byte 문자열은 문자열의 끝을 의미하기 때문에 특정 확장자를 숨기기 위한 목적으로 사용할 수 있다.

웹 서버에서 파일을 저장할 때 %00가 포함된 뒷 문자열은 null로 인식되는 것을 악용하는 방식이다. 업로드를 허용하는 확장자를 알고 있다면 해당 방식을 사용할 때 허용하는 확장자와 원하는 확장자 사이에 %00을 이용해 업로드를 시도한다.