주요정보통신기반시설 WEB-06 SSI 인젝션

WEB-06 SSI 인젝션

- HTML 문서 내 입력받은 변수 값을 서버측에서 처리할 때 부적절한 명령문이 포함 및 실행되어 서버의 데이터가 유출되는 취약점

 

점검 및 판단 기준

- 양호 : 사용자 입력 값에 대한 검증이 이루어지는 경우

- 취약 : 사용자 입력 값에 대한 검증이 이루어지지 않는 경우

 

조치 방법

- 사용자 입력 값에 대한 검증 로직 추가 구현

 

점검 방법

- 인수 값에 <!-- #echo var="DOCUMENT_ROOT" -->를 삽입 하여 전송 후 반한되는 페이지에 사이트의 홈 디렉토리가 표시되는지 확인

- 인수 값에 <!-- #exec cmd ="ls-al" -->를 삽입하여 전송 후 반환되는 페이지에 디렉토리의 파일 리스트가 표시되는지 확인

 

보안 설정 방법

- 사용자 입력으로 사용 가능한 문자들을 정해놓는다

- 정해진 문자들을 제외한 나머지 모든 문자들을 필터링

- 필터링 대상 : GET 질의 문자열, POST 데이터, 쿠키, URL 그리고 일반적으로 브라우저와 웹 서버가 주고받는 모든 데이터 포함

- 웹 서버의 SSI 기능을 사용하지 않거나, 웹 방화벽에 특수문자를 필터링하도록 룰셋 적용