코더들이 보안을 정복하다: 공유 및 학습 시리즈 - 무제한 파일 업로드
무제한 파일 업로드 문제는 공격 자체가 아니라 공격자가 애플리케이션 및 네트워크 리소스에 쉽게 액세스할 수 있는 일반적인 상황이나 상태입니다.추위에 젖은 옷을 입고 돌아다니는 것과 비슷하다고 생각할 수 있습니다.그렇게 하면 그 자체로 아프지는 않지만, 저항력이 낮아져 기회주의적 바이러스가 신체의 방어력을 쉽게 압도할 수 있습니다.
사이버 보안에서 공격자는 무제한 파일 업로드를 지원하도록 허용된 애플리케이션이나 프로그램을 빠르게 악용할 수 있습니다.그리고 그 결과는 치명적일 수 있습니다.영리한 공격자는 무제한 액세스를 사용하여 악성 파일을 업로드하거나, 스크립트를 설정하여 자격 증명을 도용하거나, 애플리케이션의 자체 권한을 사용하여 네트워크를 심층 공격할 수 있습니다.비교적 능숙하지 않은 공격자라도 이러한 종류의 무제한 액세스를 사용하여 서비스 거부 공격을 수행하거나 애플리케이션을 중단시킬 수 있습니다.
다행스럽게도 무제한 파일 업로드 문제를 해결할 수 있는 몇 가지 방법이 있습니다. 이 문제를 해결하면 잠재적 공격자를 차단할 수 있습니다.이를 위해 무제한 파일 업로드의 세 가지 주요 측면을 살펴보겠습니다.
- 작동 방식
- 왜 그렇게 위험한가요?
- 어떻게 하면 그들을 막을 수 있는 방어 시설을 마련할 수 있을까요?
공격은 무제한 파일 업로드를 어떻게 악용할까요?
사이트가 일반인의 파일 업로드를 허용하려는 데에는 여러 가지 이유가 있습니다.아마도 어떤 회사는 사람들을 채용하려고 하는데, 지원 절차의 일환으로 이들이 이력서를 업로드할 수 있도록 허용하려고 할 수도 있습니다.은행은 고객이 대출이나 새 계좌를 신청할 때와 같이 집에서 중요한 서류를 작성하도록 권장할 수 있습니다.관광 또는 소셜 미디어 사이트에서는 사용자가 사진을 업로드하여 다른 사람과 공유하도록 초대할 수 있습니다.
파일 업로드를 허용하는 데에는 여러 가지 타당한 이유가 있습니다.기본적으로 대부분의 새 애플리케이션은 제한 없이 모든 유형의 파일 업로드를 허용할 것입니다.문제는 잠재적 공격자가 해당 업로드에 제한이 없다는 것을 알아차릴 때 시작됩니다.
업로드에 대한 제한이 없으면 사이트는 세 가지 유형의 공격에 노출됩니다.악의적인 사용자는 가장 복잡하지 않은 방법부터 시작하여 수백 기가바이트의 정보가 포함된 압축 아카이브와 같은 대용량 파일을 간단히 업로드할 수 있습니다.이로 인해 대역폭이 고갈될 뿐만 아니라 애플리케이션에 할당된 스토리지 영역에 과부하가 걸릴 수 있습니다.
다음으로 악명 높은 사다리는 바이러스와 같은 악성 파일이나 랜섬웨어와 같은 더 불길한 파일을 업로드하는 사용자입니다.이것은 뱀파이어를 집에 초대해야 한다는 오래된 미신과 비슷합니다.누구나 자유롭게 들어올 수 있다는 표지판을 걸어두면 마치 무제한 파일 업로드가 가능한 것과 같습니다.더 이상 문을 통해 들어오는 내용을 통제할 수 없기 때문에 모든 방문자 또는 파일이 순조롭지는 않을 것이라고 예상할 수 있을 것입니다.일부는 괴물일 수도 있습니다.
마지막으로, 숙련된 공격자는 무제한 업로드를 사용하여 네트워크에 진입하여 심층 공격을 위한 발판을 마련할 수 있습니다.사용자가 업로드할 수 있는 항목에는 제한이 없으므로 공격자는 해당 프로세스를 통해 자체 웹 셸을 전송할 수 있습니다.이후에는 셸로 명령을 보낼 수 있으며, 해당 명령은 응용 프로그램과 동일한 권한 수준으로 서버에서 실행됩니다.
무제한 파일 액세스가 왜 그렇게 위험한가요?
무제한 파일 액세스가 가능한 애플리케이션을 배포하는 것이 당장 위험한 것은 아니지만, 기본적으로 사이버 보안 방어에 허점을 뚫고 조직을 공격하도록 누군가를 초대하는 것과 같습니다.조만간 누군가 반응할 것입니다.
가장 기본적인 수준에서는 공격자가 큰 피해를 입히기 위해 많은 기술이 필요하지도 않습니다.매우 큰 파일을 압축하여 업로드하는 것만으로도 유효한 사용자에 대한 서비스를 거부할 수 있습니다.시간이 지나면 앱이 프로그래밍되고 네트워크로 연결되는 방식에 따라 애플리케이션 또는 전체 사이트가 중단될 수도 있습니다.
무제한 파일 액세스를 사용하면 네트워크 방화벽과 기타 보호 기능에 허점이 생길 수도 있습니다.공격자가 코어 네트워크에 직접 멀웨어를 업로드할 수 있는 경로를 만들었다면 수신 이메일이나 직원의 웹 브라우징 활동을 감시하는 스캐너가 있어도 상관 없습니다.맬웨어는 응용 프로그램이나 응용 프로그램이 실행 중인 서버를 손상시킬 수 있지만 가능한 최선의 결과일 수 있습니다.최악의 시나리오에서는 랜섬웨어와 같은 진정한 악성 프로그램이 손상된 서버를 이용하여 전체 네트워크로 확산될 수 있습니다.
무제한의 파일 액세스가 가능한 애플리케이션을 악용할 때 더 숙련된 공격자는 그다지 눈에 띄지 않을 것입니다.대신 공격자는 취약점을 이용해 애플리케이션을 손상시키고 이를 이용해 네트워크 깊숙이 침투하여 느리게 움직이면서 탐지를 피하려 할 수 있습니다.웹 셸이나 다른.exe 유형 파일을 업로드한 다음 파일이 도착하면 해당 파일에 직접 명령을 전송하여 이 작업을 수행할 수 있습니다.사용자가 셸을 통해 실행하는 모든 작업은 일반적으로 서버를 호스팅하는 응용 프로그램에 설정된 권한 수준에 관계없이 서버에서 실행됩니다.서버에서는 이러한 명령이 응용 프로그램에서 나오므로 더 이상 확인하거나 검사할 필요가 없습니다.
이 모든 것이 무제한 파일 액세스 취약점을 네트워크에서 가장 위험한 취약점으로 만듭니다.문제는 문제가 발생하는지 여부가 아니라 언제 발생하느냐의 문제일 수 있습니다.
무제한 파일 액세스 취약점을 제거하려면 어떻게 해야 합니까?
그렇다면 무제한 파일 액세스 문제를 해결하려면 어떻게 해야 할까요?가장 쉬운 방법은 업로드할 수 있는 파일 유형에 하나 또는 여러 개의 제한을 추가하는 것입니다.원하는 경우 사용자에게 이러한 내용을 알릴 수 있습니다. 예를 들어 해당 사이트에서 Word 또는 텍스트 파일만 허용하거나 사진 공유 사이트의 경우.jpgs 또는.gifs만 허용한다고 알릴 수 있습니다.백엔드에서는 허용 가능한 파일 확장자의 화이트리스트를 만든 다음 나머지는 모두 거부해야 합니다.또한 파일 이름의 최대 길이에도 제한을 두어야 합니다.파일 이름에 특수 문자가 있는 경우 (실행 가능한 명령을 트리거하려는 시도를 의미할 수 있음) 역시 거부해야 합니다.
파일 유형 및 이름 지정 규칙 외에도 각 파일의 최대 크기를 제한해야 합니다.최대 크기는 애플리케이션에서 수집할 것으로 예상되는 파일 유형에 적합하고 적절한 크기여야 합니다.즉, Word 파일의 경우 최대 10메가바이트 정도이고 그래픽 파일의 경우 이보다 더 큰 크기 (약 50메가바이트) 일 수 있습니다.최소 파일 크기 규칙을 설정할 수도 있습니다. 단, 예상 파일의 크기 범위를 잘 알고 있는 경우 (예: 사용자가 특정 양식을 작성하여 업로드하는 경우) 에 한합니다.
공격자는 여전히 파일 형식 및 크기 제한을 초과하여 셸이나 기타 잠재적 악성 프로그램을 몰래 훔칠 수 있는 영리한 방법을 찾을 수 있습니다.이를 보완하기 위해 수집된 파일은 항상 실행 권한 없이 개인 디렉터리에 저장해야 합니다.보안을 강화하기 위해 시스템에서 파일 이름을 일련의 임의 문자로 바꿀 수 있습니다.이렇게 하면 네트워크 외부의 인증되지 않은 사용자가 업로드한 파일의 위치를 검색하는 것을 방지할 수 있으며, 이로 인해 네트워크에 다시 접속할 수 있습니다.하지만 이렇게 하려면 임의의 파일 이름을 원래 이름과 연결하는 테이블을 설정하고 유지 관리해야 할 수도 있습니다.
마지막으로, 업로드를 통해 네트워크에 도착하는 모든 항목은 조직에서 해당 작업에 사용하는 방어 프로그램을 통해 맬웨어와 바이러스를 검사해야 합니다.이렇게 하면 모든 것을 탐지할 수는 없지만 파일 업로드를 통해 침입하려는 가장 일반적인 악성 파일을 최대 90% 이상 탐지하는 데 사용할 수 있는 중요한 보안 계층입니다.
무제한 파일 업로드 문제 제한
백엔드에 여러 계층의 보안이 적용되면 무제한 파일 업로드 문제는 더 이상 문제가 되지 않습니다.기본적으로 파일 업로드에 제한을 두어 문제를 해결하는 것이므로 더 이상 제한이 없는 문제가 아닙니다.좋은 파일만 내부로 들어갈 수 있고 뱀파이어와 멀웨어는 모두 추위에 노출되지 않습니다.
자세한 내용은 OWASP 무제한 파일 업로드를 참조하십시오. 예방 치트 시트에는 네트워크에서 이러한 상황이 허용될 때 발생하는 가장 일반적인 몇 가지 문제가 요약되어 있습니다.또한 다음을 통해 새로 습득한 방어 지식을 테스트할 수 있습니다. 무료 쇼케이스 사이버 보안 팀이 궁극의 사이버 전사가 될 수 있도록 교육하는 Secure Code Warrior 플랫폼을 활용했습니다.이 취약점을 해결하는 방법과 기타 위협의 도적 갤러리를 자세히 알아보려면 다음 사이트를 방문하십시오. 시큐어 코드 워리어 블로그.
지금 바로 이 취약점을 해결할 준비가 되셨나요?전장으로 가서 실력을 시험해 보세요.
사이버 보안에서 공격자는 무제한 파일 업로드를 지원하도록 허용된 애플리케이션이나 프로그램을 빠르게 악용할 수 있습니다.그리고 그 결과는 치명적일 수 있습니다.
야프 카란 싱은 보안 코딩 전도자, 수석 싱 및 공동 설립자입니다 Secure Code Warrior .
Secure Code Warrior는 전체 소프트웨어 개발 라이프사이클에서 코드를 보호하고 사이버 보안을 최우선으로 생각하는 문화를 조성할 수 있도록 조직을 위해 여기 있습니다.AppSec 관리자, 개발자, CISO 또는 보안 관련 누구든 관계없이 조직이 안전하지 않은 코드와 관련된 위험을 줄일 수 있도록 도와드릴 수 있습니다.
데모 예약
야프 카란 싱은 보안 코딩 전도자, 수석 싱 및 공동 설립자입니다 Secure Code Warrior .
무제한 파일 업로드 문제는 공격 자체가 아니라 공격자가 애플리케이션 및 네트워크 리소스에 쉽게 액세스할 수 있는 일반적인 상황이나 상태입니다.추위에 젖은 옷을 입고 돌아다니는 것과 비슷하다고 생각할 수 있습니다.그렇게 하면 그 자체로 아프지는 않지만, 저항력이 낮아져 기회주의적 바이러스가 신체의 방어력을 쉽게 압도할 수 있습니다.
사이버 보안에서 공격자는 무제한 파일 업로드를 지원하도록 허용된 애플리케이션이나 프로그램을 빠르게 악용할 수 있습니다.그리고 그 결과는 치명적일 수 있습니다.영리한 공격자는 무제한 액세스를 사용하여 악성 파일을 업로드하거나, 스크립트를 설정하여 자격 증명을 도용하거나, 애플리케이션의 자체 권한을 사용하여 네트워크를 심층 공격할 수 있습니다.비교적 능숙하지 않은 공격자라도 이러한 종류의 무제한 액세스를 사용하여 서비스 거부 공격을 수행하거나 애플리케이션을 중단시킬 수 있습니다.
다행스럽게도 무제한 파일 업로드 문제를 해결할 수 있는 몇 가지 방법이 있습니다. 이 문제를 해결하면 잠재적 공격자를 차단할 수 있습니다.이를 위해 무제한 파일 업로드의 세 가지 주요 측면을 살펴보겠습니다.
- 작동 방식
- 왜 그렇게 위험한가요?
- 어떻게 하면 그들을 막을 수 있는 방어 시설을 마련할 수 있을까요?
공격은 무제한 파일 업로드를 어떻게 악용할까요?
사이트가 일반인의 파일 업로드를 허용하려는 데에는 여러 가지 이유가 있습니다.아마도 어떤 회사는 사람들을 채용하려고 하는데, 지원 절차의 일환으로 이들이 이력서를 업로드할 수 있도록 허용하려고 할 수도 있습니다.은행은 고객이 대출이나 새 계좌를 신청할 때와 같이 집에서 중요한 서류를 작성하도록 권장할 수 있습니다.관광 또는 소셜 미디어 사이트에서는 사용자가 사진을 업로드하여 다른 사람과 공유하도록 초대할 수 있습니다.
파일 업로드를 허용하는 데에는 여러 가지 타당한 이유가 있습니다.기본적으로 대부분의 새 애플리케이션은 제한 없이 모든 유형의 파일 업로드를 허용할 것입니다.문제는 잠재적 공격자가 해당 업로드에 제한이 없다는 것을 알아차릴 때 시작됩니다.
업로드에 대한 제한이 없으면 사이트는 세 가지 유형의 공격에 노출됩니다.악의적인 사용자는 가장 복잡하지 않은 방법부터 시작하여 수백 기가바이트의 정보가 포함된 압축 아카이브와 같은 대용량 파일을 간단히 업로드할 수 있습니다.이로 인해 대역폭이 고갈될 뿐만 아니라 애플리케이션에 할당된 스토리지 영역에 과부하가 걸릴 수 있습니다.
다음으로 악명 높은 사다리는 바이러스와 같은 악성 파일이나 랜섬웨어와 같은 더 불길한 파일을 업로드하는 사용자입니다.이것은 뱀파이어를 집에 초대해야 한다는 오래된 미신과 비슷합니다.누구나 자유롭게 들어올 수 있다는 표지판을 걸어두면 마치 무제한 파일 업로드가 가능한 것과 같습니다.더 이상 문을 통해 들어오는 내용을 통제할 수 없기 때문에 모든 방문자 또는 파일이 순조롭지는 않을 것이라고 예상할 수 있을 것입니다.일부는 괴물일 수도 있습니다.
마지막으로, 숙련된 공격자는 무제한 업로드를 사용하여 네트워크에 진입하여 심층 공격을 위한 발판을 마련할 수 있습니다.사용자가 업로드할 수 있는 항목에는 제한이 없으므로 공격자는 해당 프로세스를 통해 자체 웹 셸을 전송할 수 있습니다.이후에는 셸로 명령을 보낼 수 있으며, 해당 명령은 응용 프로그램과 동일한 권한 수준으로 서버에서 실행됩니다.
무제한 파일 액세스가 왜 그렇게 위험한가요?
무제한 파일 액세스가 가능한 애플리케이션을 배포하는 것이 당장 위험한 것은 아니지만, 기본적으로 사이버 보안 방어에 허점을 뚫고 조직을 공격하도록 누군가를 초대하는 것과 같습니다.조만간 누군가 반응할 것입니다.
가장 기본적인 수준에서는 공격자가 큰 피해를 입히기 위해 많은 기술이 필요하지도 않습니다.매우 큰 파일을 압축하여 업로드하는 것만으로도 유효한 사용자에 대한 서비스를 거부할 수 있습니다.시간이 지나면 앱이 프로그래밍되고 네트워크로 연결되는 방식에 따라 애플리케이션 또는 전체 사이트가 중단될 수도 있습니다.
무제한 파일 액세스를 사용하면 네트워크 방화벽과 기타 보호 기능에 허점이 생길 수도 있습니다.공격자가 코어 네트워크에 직접 멀웨어를 업로드할 수 있는 경로를 만들었다면 수신 이메일이나 직원의 웹 브라우징 활동을 감시하는 스캐너가 있어도 상관 없습니다.맬웨어는 응용 프로그램이나 응용 프로그램이 실행 중인 서버를 손상시킬 수 있지만 가능한 최선의 결과일 수 있습니다.최악의 시나리오에서는 랜섬웨어와 같은 진정한 악성 프로그램이 손상된 서버를 이용하여 전체 네트워크로 확산될 수 있습니다.
무제한의 파일 액세스가 가능한 애플리케이션을 악용할 때 더 숙련된 공격자는 그다지 눈에 띄지 않을 것입니다.대신 공격자는 취약점을 이용해 애플리케이션을 손상시키고 이를 이용해 네트워크 깊숙이 침투하여 느리게 움직이면서 탐지를 피하려 할 수 있습니다.웹 셸이나 다른.exe 유형 파일을 업로드한 다음 파일이 도착하면 해당 파일에 직접 명령을 전송하여 이 작업을 수행할 수 있습니다.사용자가 셸을 통해 실행하는 모든 작업은 일반적으로 서버를 호스팅하는 응용 프로그램에 설정된 권한 수준에 관계없이 서버에서 실행됩니다.서버에서는 이러한 명령이 응용 프로그램에서 나오므로 더 이상 확인하거나 검사할 필요가 없습니다.
이 모든 것이 무제한 파일 액세스 취약점을 네트워크에서 가장 위험한 취약점으로 만듭니다.문제는 문제가 발생하는지 여부가 아니라 언제 발생하느냐의 문제일 수 있습니다.
무제한 파일 액세스 취약점을 제거하려면 어떻게 해야 합니까?
그렇다면 무제한 파일 액세스 문제를 해결하려면 어떻게 해야 할까요?가장 쉬운 방법은 업로드할 수 있는 파일 유형에 하나 또는 여러 개의 제한을 추가하는 것입니다.원하는 경우 사용자에게 이러한 내용을 알릴 수 있습니다. 예를 들어 해당 사이트에서 Word 또는 텍스트 파일만 허용하거나 사진 공유 사이트의 경우.jpgs 또는.gifs만 허용한다고 알릴 수 있습니다.백엔드에서는 허용 가능한 파일 확장자의 화이트리스트를 만든 다음 나머지는 모두 거부해야 합니다.또한 파일 이름의 최대 길이에도 제한을 두어야 합니다.파일 이름에 특수 문자가 있는 경우 (실행 가능한 명령을 트리거하려는 시도를 의미할 수 있음) 역시 거부해야 합니다.
파일 유형 및 이름 지정 규칙 외에도 각 파일의 최대 크기를 제한해야 합니다.최대 크기는 애플리케이션에서 수집할 것으로 예상되는 파일 유형에 적합하고 적절한 크기여야 합니다.즉, Word 파일의 경우 최대 10메가바이트 정도이고 그래픽 파일의 경우 이보다 더 큰 크기 (약 50메가바이트) 일 수 있습니다.최소 파일 크기 규칙을 설정할 수도 있습니다. 단, 예상 파일의 크기 범위를 잘 알고 있는 경우 (예: 사용자가 특정 양식을 작성하여 업로드하는 경우) 에 한합니다.
공격자는 여전히 파일 형식 및 크기 제한을 초과하여 셸이나 기타 잠재적 악성 프로그램을 몰래 훔칠 수 있는 영리한 방법을 찾을 수 있습니다.이를 보완하기 위해 수집된 파일은 항상 실행 권한 없이 개인 디렉터리에 저장해야 합니다.보안을 강화하기 위해 시스템에서 파일 이름을 일련의 임의 문자로 바꿀 수 있습니다.이렇게 하면 네트워크 외부의 인증되지 않은 사용자가 업로드한 파일의 위치를 검색하는 것을 방지할 수 있으며, 이로 인해 네트워크에 다시 접속할 수 있습니다.하지만 이렇게 하려면 임의의 파일 이름을 원래 이름과 연결하는 테이블을 설정하고 유지 관리해야 할 수도 있습니다.
마지막으로, 업로드를 통해 네트워크에 도착하는 모든 항목은 조직에서 해당 작업에 사용하는 방어 프로그램을 통해 맬웨어와 바이러스를 검사해야 합니다.이렇게 하면 모든 것을 탐지할 수는 없지만 파일 업로드를 통해 침입하려는 가장 일반적인 악성 파일을 최대 90% 이상 탐지하는 데 사용할 수 있는 중요한 보안 계층입니다.
무제한 파일 업로드 문제 제한
백엔드에 여러 계층의 보안이 적용되면 무제한 파일 업로드 문제는 더 이상 문제가 되지 않습니다.기본적으로 파일 업로드에 제한을 두어 문제를 해결하는 것이므로 더 이상 제한이 없는 문제가 아닙니다.좋은 파일만 내부로 들어갈 수 있고 뱀파이어와 멀웨어는 모두 추위에 노출되지 않습니다.
자세한 내용은 OWASP 무제한 파일 업로드를 참조하십시오. 예방 치트 시트에는 네트워크에서 이러한 상황이 허용될 때 발생하는 가장 일반적인 몇 가지 문제가 요약되어 있습니다.또한 다음을 통해 새로 습득한 방어 지식을 테스트할 수 있습니다. 무료 쇼케이스 사이버 보안 팀이 궁극의 사이버 전사가 될 수 있도록 교육하는 Secure Code Warrior 플랫폼을 활용했습니다.이 취약점을 해결하는 방법과 기타 위협의 도적 갤러리를 자세히 알아보려면 다음 사이트를 방문하십시오. 시큐어 코드 워리어 블로그.
지금 바로 이 취약점을 해결할 준비가 되셨나요?전장으로 가서 실력을 시험해 보세요.
무제한 파일 업로드 문제는 공격 자체가 아니라 공격자가 애플리케이션 및 네트워크 리소스에 쉽게 액세스할 수 있는 일반적인 상황이나 상태입니다.추위에 젖은 옷을 입고 돌아다니는 것과 비슷하다고 생각할 수 있습니다.그렇게 하면 그 자체로 아프지는 않지만, 저항력이 낮아져 기회주의적 바이러스가 신체의 방어력을 쉽게 압도할 수 있습니다.
사이버 보안에서 공격자는 무제한 파일 업로드를 지원하도록 허용된 애플리케이션이나 프로그램을 빠르게 악용할 수 있습니다.그리고 그 결과는 치명적일 수 있습니다.영리한 공격자는 무제한 액세스를 사용하여 악성 파일을 업로드하거나, 스크립트를 설정하여 자격 증명을 도용하거나, 애플리케이션의 자체 권한을 사용하여 네트워크를 심층 공격할 수 있습니다.비교적 능숙하지 않은 공격자라도 이러한 종류의 무제한 액세스를 사용하여 서비스 거부 공격을 수행하거나 애플리케이션을 중단시킬 수 있습니다.
다행스럽게도 무제한 파일 업로드 문제를 해결할 수 있는 몇 가지 방법이 있습니다. 이 문제를 해결하면 잠재적 공격자를 차단할 수 있습니다.이를 위해 무제한 파일 업로드의 세 가지 주요 측면을 살펴보겠습니다.
- 작동 방식
- 왜 그렇게 위험한가요?
- 어떻게 하면 그들을 막을 수 있는 방어 시설을 마련할 수 있을까요?
공격은 무제한 파일 업로드를 어떻게 악용할까요?
사이트가 일반인의 파일 업로드를 허용하려는 데에는 여러 가지 이유가 있습니다.아마도 어떤 회사는 사람들을 채용하려고 하는데, 지원 절차의 일환으로 이들이 이력서를 업로드할 수 있도록 허용하려고 할 수도 있습니다.은행은 고객이 대출이나 새 계좌를 신청할 때와 같이 집에서 중요한 서류를 작성하도록 권장할 수 있습니다.관광 또는 소셜 미디어 사이트에서는 사용자가 사진을 업로드하여 다른 사람과 공유하도록 초대할 수 있습니다.
파일 업로드를 허용하는 데에는 여러 가지 타당한 이유가 있습니다.기본적으로 대부분의 새 애플리케이션은 제한 없이 모든 유형의 파일 업로드를 허용할 것입니다.문제는 잠재적 공격자가 해당 업로드에 제한이 없다는 것을 알아차릴 때 시작됩니다.
업로드에 대한 제한이 없으면 사이트는 세 가지 유형의 공격에 노출됩니다.악의적인 사용자는 가장 복잡하지 않은 방법부터 시작하여 수백 기가바이트의 정보가 포함된 압축 아카이브와 같은 대용량 파일을 간단히 업로드할 수 있습니다.이로 인해 대역폭이 고갈될 뿐만 아니라 애플리케이션에 할당된 스토리지 영역에 과부하가 걸릴 수 있습니다.
다음으로 악명 높은 사다리는 바이러스와 같은 악성 파일이나 랜섬웨어와 같은 더 불길한 파일을 업로드하는 사용자입니다.이것은 뱀파이어를 집에 초대해야 한다는 오래된 미신과 비슷합니다.누구나 자유롭게 들어올 수 있다는 표지판을 걸어두면 마치 무제한 파일 업로드가 가능한 것과 같습니다.더 이상 문을 통해 들어오는 내용을 통제할 수 없기 때문에 모든 방문자 또는 파일이 순조롭지는 않을 것이라고 예상할 수 있을 것입니다.일부는 괴물일 수도 있습니다.
마지막으로, 숙련된 공격자는 무제한 업로드를 사용하여 네트워크에 진입하여 심층 공격을 위한 발판을 마련할 수 있습니다.사용자가 업로드할 수 있는 항목에는 제한이 없으므로 공격자는 해당 프로세스를 통해 자체 웹 셸을 전송할 수 있습니다.이후에는 셸로 명령을 보낼 수 있으며, 해당 명령은 응용 프로그램과 동일한 권한 수준으로 서버에서 실행됩니다.
무제한 파일 액세스가 왜 그렇게 위험한가요?
무제한 파일 액세스가 가능한 애플리케이션을 배포하는 것이 당장 위험한 것은 아니지만, 기본적으로 사이버 보안 방어에 허점을 뚫고 조직을 공격하도록 누군가를 초대하는 것과 같습니다.조만간 누군가 반응할 것입니다.
가장 기본적인 수준에서는 공격자가 큰 피해를 입히기 위해 많은 기술이 필요하지도 않습니다.매우 큰 파일을 압축하여 업로드하는 것만으로도 유효한 사용자에 대한 서비스를 거부할 수 있습니다.시간이 지나면 앱이 프로그래밍되고 네트워크로 연결되는 방식에 따라 애플리케이션 또는 전체 사이트가 중단될 수도 있습니다.
무제한 파일 액세스를 사용하면 네트워크 방화벽과 기타 보호 기능에 허점이 생길 수도 있습니다.공격자가 코어 네트워크에 직접 멀웨어를 업로드할 수 있는 경로를 만들었다면 수신 이메일이나 직원의 웹 브라우징 활동을 감시하는 스캐너가 있어도 상관 없습니다.맬웨어는 응용 프로그램이나 응용 프로그램이 실행 중인 서버를 손상시킬 수 있지만 가능한 최선의 결과일 수 있습니다.최악의 시나리오에서는 랜섬웨어와 같은 진정한 악성 프로그램이 손상된 서버를 이용하여 전체 네트워크로 확산될 수 있습니다.
무제한의 파일 액세스가 가능한 애플리케이션을 악용할 때 더 숙련된 공격자는 그다지 눈에 띄지 않을 것입니다.대신 공격자는 취약점을 이용해 애플리케이션을 손상시키고 이를 이용해 네트워크 깊숙이 침투하여 느리게 움직이면서 탐지를 피하려 할 수 있습니다.웹 셸이나 다른.exe 유형 파일을 업로드한 다음 파일이 도착하면 해당 파일에 직접 명령을 전송하여 이 작업을 수행할 수 있습니다.사용자가 셸을 통해 실행하는 모든 작업은 일반적으로 서버를 호스팅하는 응용 프로그램에 설정된 권한 수준에 관계없이 서버에서 실행됩니다.서버에서는 이러한 명령이 응용 프로그램에서 나오므로 더 이상 확인하거나 검사할 필요가 없습니다.
이 모든 것이 무제한 파일 액세스 취약점을 네트워크에서 가장 위험한 취약점으로 만듭니다.문제는 문제가 발생하는지 여부가 아니라 언제 발생하느냐의 문제일 수 있습니다.
무제한 파일 액세스 취약점을 제거하려면 어떻게 해야 합니까?
그렇다면 무제한 파일 액세스 문제를 해결하려면 어떻게 해야 할까요?가장 쉬운 방법은 업로드할 수 있는 파일 유형에 하나 또는 여러 개의 제한을 추가하는 것입니다.원하는 경우 사용자에게 이러한 내용을 알릴 수 있습니다. 예를 들어 해당 사이트에서 Word 또는 텍스트 파일만 허용하거나 사진 공유 사이트의 경우.jpgs 또는.gifs만 허용한다고 알릴 수 있습니다.백엔드에서는 허용 가능한 파일 확장자의 화이트리스트를 만든 다음 나머지는 모두 거부해야 합니다.또한 파일 이름의 최대 길이에도 제한을 두어야 합니다.파일 이름에 특수 문자가 있는 경우 (실행 가능한 명령을 트리거하려는 시도를 의미할 수 있음) 역시 거부해야 합니다.
파일 유형 및 이름 지정 규칙 외에도 각 파일의 최대 크기를 제한해야 합니다.최대 크기는 애플리케이션에서 수집할 것으로 예상되는 파일 유형에 적합하고 적절한 크기여야 합니다.즉, Word 파일의 경우 최대 10메가바이트 정도이고 그래픽 파일의 경우 이보다 더 큰 크기 (약 50메가바이트) 일 수 있습니다.최소 파일 크기 규칙을 설정할 수도 있습니다. 단, 예상 파일의 크기 범위를 잘 알고 있는 경우 (예: 사용자가 특정 양식을 작성하여 업로드하는 경우) 에 한합니다.
공격자는 여전히 파일 형식 및 크기 제한을 초과하여 셸이나 기타 잠재적 악성 프로그램을 몰래 훔칠 수 있는 영리한 방법을 찾을 수 있습니다.이를 보완하기 위해 수집된 파일은 항상 실행 권한 없이 개인 디렉터리에 저장해야 합니다.보안을 강화하기 위해 시스템에서 파일 이름을 일련의 임의 문자로 바꿀 수 있습니다.이렇게 하면 네트워크 외부의 인증되지 않은 사용자가 업로드한 파일의 위치를 검색하는 것을 방지할 수 있으며, 이로 인해 네트워크에 다시 접속할 수 있습니다.하지만 이렇게 하려면 임의의 파일 이름을 원래 이름과 연결하는 테이블을 설정하고 유지 관리해야 할 수도 있습니다.
마지막으로, 업로드를 통해 네트워크에 도착하는 모든 항목은 조직에서 해당 작업에 사용하는 방어 프로그램을 통해 맬웨어와 바이러스를 검사해야 합니다.이렇게 하면 모든 것을 탐지할 수는 없지만 파일 업로드를 통해 침입하려는 가장 일반적인 악성 파일을 최대 90% 이상 탐지하는 데 사용할 수 있는 중요한 보안 계층입니다.
무제한 파일 업로드 문제 제한
백엔드에 여러 계층의 보안이 적용되면 무제한 파일 업로드 문제는 더 이상 문제가 되지 않습니다.기본적으로 파일 업로드에 제한을 두어 문제를 해결하는 것이므로 더 이상 제한이 없는 문제가 아닙니다.좋은 파일만 내부로 들어갈 수 있고 뱀파이어와 멀웨어는 모두 추위에 노출되지 않습니다.
자세한 내용은 OWASP 무제한 파일 업로드를 참조하십시오. 예방 치트 시트에는 네트워크에서 이러한 상황이 허용될 때 발생하는 가장 일반적인 몇 가지 문제가 요약되어 있습니다.또한 다음을 통해 새로 습득한 방어 지식을 테스트할 수 있습니다. 무료 쇼케이스 사이버 보안 팀이 궁극의 사이버 전사가 될 수 있도록 교육하는 Secure Code Warrior 플랫폼을 활용했습니다.이 취약점을 해결하는 방법과 기타 위협의 도적 갤러리를 자세히 알아보려면 다음 사이트를 방문하십시오. 시큐어 코드 워리어 블로그.
지금 바로 이 취약점을 해결할 준비가 되셨나요?전장으로 가서 실력을 시험해 보세요.
아래 링크를 클릭하고 이 리소스의 PDF를 다운로드하십시오.
Secure Code Warrior는 전체 소프트웨어 개발 라이프사이클에서 코드를 보호하고 사이버 보안을 최우선으로 생각하는 문화를 조성할 수 있도록 조직을 위해 여기 있습니다.AppSec 관리자, 개발자, CISO 또는 보안 관련 누구든 관계없이 조직이 안전하지 않은 코드와 관련된 위험을 줄일 수 있도록 도와드릴 수 있습니다.
보고서 보기데모 예약
야프 카란 싱은 보안 코딩 전도자, 수석 싱 및 공동 설립자입니다 Secure Code Warrior .
무제한 파일 업로드 문제는 공격 자체가 아니라 공격자가 애플리케이션 및 네트워크 리소스에 쉽게 액세스할 수 있는 일반적인 상황이나 상태입니다.추위에 젖은 옷을 입고 돌아다니는 것과 비슷하다고 생각할 수 있습니다.그렇게 하면 그 자체로 아프지는 않지만, 저항력이 낮아져 기회주의적 바이러스가 신체의 방어력을 쉽게 압도할 수 있습니다.
사이버 보안에서 공격자는 무제한 파일 업로드를 지원하도록 허용된 애플리케이션이나 프로그램을 빠르게 악용할 수 있습니다.그리고 그 결과는 치명적일 수 있습니다.영리한 공격자는 무제한 액세스를 사용하여 악성 파일을 업로드하거나, 스크립트를 설정하여 자격 증명을 도용하거나, 애플리케이션의 자체 권한을 사용하여 네트워크를 심층 공격할 수 있습니다.비교적 능숙하지 않은 공격자라도 이러한 종류의 무제한 액세스를 사용하여 서비스 거부 공격을 수행하거나 애플리케이션을 중단시킬 수 있습니다.
다행스럽게도 무제한 파일 업로드 문제를 해결할 수 있는 몇 가지 방법이 있습니다. 이 문제를 해결하면 잠재적 공격자를 차단할 수 있습니다.이를 위해 무제한 파일 업로드의 세 가지 주요 측면을 살펴보겠습니다.
- 작동 방식
- 왜 그렇게 위험한가요?
- 어떻게 하면 그들을 막을 수 있는 방어 시설을 마련할 수 있을까요?
공격은 무제한 파일 업로드를 어떻게 악용할까요?
사이트가 일반인의 파일 업로드를 허용하려는 데에는 여러 가지 이유가 있습니다.아마도 어떤 회사는 사람들을 채용하려고 하는데, 지원 절차의 일환으로 이들이 이력서를 업로드할 수 있도록 허용하려고 할 수도 있습니다.은행은 고객이 대출이나 새 계좌를 신청할 때와 같이 집에서 중요한 서류를 작성하도록 권장할 수 있습니다.관광 또는 소셜 미디어 사이트에서는 사용자가 사진을 업로드하여 다른 사람과 공유하도록 초대할 수 있습니다.
파일 업로드를 허용하는 데에는 여러 가지 타당한 이유가 있습니다.기본적으로 대부분의 새 애플리케이션은 제한 없이 모든 유형의 파일 업로드를 허용할 것입니다.문제는 잠재적 공격자가 해당 업로드에 제한이 없다는 것을 알아차릴 때 시작됩니다.
업로드에 대한 제한이 없으면 사이트는 세 가지 유형의 공격에 노출됩니다.악의적인 사용자는 가장 복잡하지 않은 방법부터 시작하여 수백 기가바이트의 정보가 포함된 압축 아카이브와 같은 대용량 파일을 간단히 업로드할 수 있습니다.이로 인해 대역폭이 고갈될 뿐만 아니라 애플리케이션에 할당된 스토리지 영역에 과부하가 걸릴 수 있습니다.
다음으로 악명 높은 사다리는 바이러스와 같은 악성 파일이나 랜섬웨어와 같은 더 불길한 파일을 업로드하는 사용자입니다.이것은 뱀파이어를 집에 초대해야 한다는 오래된 미신과 비슷합니다.누구나 자유롭게 들어올 수 있다는 표지판을 걸어두면 마치 무제한 파일 업로드가 가능한 것과 같습니다.더 이상 문을 통해 들어오는 내용을 통제할 수 없기 때문에 모든 방문자 또는 파일이 순조롭지는 않을 것이라고 예상할 수 있을 것입니다.일부는 괴물일 수도 있습니다.
마지막으로, 숙련된 공격자는 무제한 업로드를 사용하여 네트워크에 진입하여 심층 공격을 위한 발판을 마련할 수 있습니다.사용자가 업로드할 수 있는 항목에는 제한이 없으므로 공격자는 해당 프로세스를 통해 자체 웹 셸을 전송할 수 있습니다.이후에는 셸로 명령을 보낼 수 있으며, 해당 명령은 응용 프로그램과 동일한 권한 수준으로 서버에서 실행됩니다.
무제한 파일 액세스가 왜 그렇게 위험한가요?
무제한 파일 액세스가 가능한 애플리케이션을 배포하는 것이 당장 위험한 것은 아니지만, 기본적으로 사이버 보안 방어에 허점을 뚫고 조직을 공격하도록 누군가를 초대하는 것과 같습니다.조만간 누군가 반응할 것입니다.
가장 기본적인 수준에서는 공격자가 큰 피해를 입히기 위해 많은 기술이 필요하지도 않습니다.매우 큰 파일을 압축하여 업로드하는 것만으로도 유효한 사용자에 대한 서비스를 거부할 수 있습니다.시간이 지나면 앱이 프로그래밍되고 네트워크로 연결되는 방식에 따라 애플리케이션 또는 전체 사이트가 중단될 수도 있습니다.
무제한 파일 액세스를 사용하면 네트워크 방화벽과 기타 보호 기능에 허점이 생길 수도 있습니다.공격자가 코어 네트워크에 직접 멀웨어를 업로드할 수 있는 경로를 만들었다면 수신 이메일이나 직원의 웹 브라우징 활동을 감시하는 스캐너가 있어도 상관 없습니다.맬웨어는 응용 프로그램이나 응용 프로그램이 실행 중인 서버를 손상시킬 수 있지만 가능한 최선의 결과일 수 있습니다.최악의 시나리오에서는 랜섬웨어와 같은 진정한 악성 프로그램이 손상된 서버를 이용하여 전체 네트워크로 확산될 수 있습니다.
무제한의 파일 액세스가 가능한 애플리케이션을 악용할 때 더 숙련된 공격자는 그다지 눈에 띄지 않을 것입니다.대신 공격자는 취약점을 이용해 애플리케이션을 손상시키고 이를 이용해 네트워크 깊숙이 침투하여 느리게 움직이면서 탐지를 피하려 할 수 있습니다.웹 셸이나 다른.exe 유형 파일을 업로드한 다음 파일이 도착하면 해당 파일에 직접 명령을 전송하여 이 작업을 수행할 수 있습니다.사용자가 셸을 통해 실행하는 모든 작업은 일반적으로 서버를 호스팅하는 응용 프로그램에 설정된 권한 수준에 관계없이 서버에서 실행됩니다.서버에서는 이러한 명령이 응용 프로그램에서 나오므로 더 이상 확인하거나 검사할 필요가 없습니다.
이 모든 것이 무제한 파일 액세스 취약점을 네트워크에서 가장 위험한 취약점으로 만듭니다.문제는 문제가 발생하는지 여부가 아니라 언제 발생하느냐의 문제일 수 있습니다.
무제한 파일 액세스 취약점을 제거하려면 어떻게 해야 합니까?
그렇다면 무제한 파일 액세스 문제를 해결하려면 어떻게 해야 할까요?가장 쉬운 방법은 업로드할 수 있는 파일 유형에 하나 또는 여러 개의 제한을 추가하는 것입니다.원하는 경우 사용자에게 이러한 내용을 알릴 수 있습니다. 예를 들어 해당 사이트에서 Word 또는 텍스트 파일만 허용하거나 사진 공유 사이트의 경우.jpgs 또는.gifs만 허용한다고 알릴 수 있습니다.백엔드에서는 허용 가능한 파일 확장자의 화이트리스트를 만든 다음 나머지는 모두 거부해야 합니다.또한 파일 이름의 최대 길이에도 제한을 두어야 합니다.파일 이름에 특수 문자가 있는 경우 (실행 가능한 명령을 트리거하려는 시도를 의미할 수 있음) 역시 거부해야 합니다.
파일 유형 및 이름 지정 규칙 외에도 각 파일의 최대 크기를 제한해야 합니다.최대 크기는 애플리케이션에서 수집할 것으로 예상되는 파일 유형에 적합하고 적절한 크기여야 합니다.즉, Word 파일의 경우 최대 10메가바이트 정도이고 그래픽 파일의 경우 이보다 더 큰 크기 (약 50메가바이트) 일 수 있습니다.최소 파일 크기 규칙을 설정할 수도 있습니다. 단, 예상 파일의 크기 범위를 잘 알고 있는 경우 (예: 사용자가 특정 양식을 작성하여 업로드하는 경우) 에 한합니다.
공격자는 여전히 파일 형식 및 크기 제한을 초과하여 셸이나 기타 잠재적 악성 프로그램을 몰래 훔칠 수 있는 영리한 방법을 찾을 수 있습니다.이를 보완하기 위해 수집된 파일은 항상 실행 권한 없이 개인 디렉터리에 저장해야 합니다.보안을 강화하기 위해 시스템에서 파일 이름을 일련의 임의 문자로 바꿀 수 있습니다.이렇게 하면 네트워크 외부의 인증되지 않은 사용자가 업로드한 파일의 위치를 검색하는 것을 방지할 수 있으며, 이로 인해 네트워크에 다시 접속할 수 있습니다.하지만 이렇게 하려면 임의의 파일 이름을 원래 이름과 연결하는 테이블을 설정하고 유지 관리해야 할 수도 있습니다.
마지막으로, 업로드를 통해 네트워크에 도착하는 모든 항목은 조직에서 해당 작업에 사용하는 방어 프로그램을 통해 맬웨어와 바이러스를 검사해야 합니다.이렇게 하면 모든 것을 탐지할 수는 없지만 파일 업로드를 통해 침입하려는 가장 일반적인 악성 파일을 최대 90% 이상 탐지하는 데 사용할 수 있는 중요한 보안 계층입니다.
무제한 파일 업로드 문제 제한
백엔드에 여러 계층의 보안이 적용되면 무제한 파일 업로드 문제는 더 이상 문제가 되지 않습니다.기본적으로 파일 업로드에 제한을 두어 문제를 해결하는 것이므로 더 이상 제한이 없는 문제가 아닙니다.좋은 파일만 내부로 들어갈 수 있고 뱀파이어와 멀웨어는 모두 추위에 노출되지 않습니다.
자세한 내용은 OWASP 무제한 파일 업로드를 참조하십시오. 예방 치트 시트에는 네트워크에서 이러한 상황이 허용될 때 발생하는 가장 일반적인 몇 가지 문제가 요약되어 있습니다.또한 다음을 통해 새로 습득한 방어 지식을 테스트할 수 있습니다. 무료 쇼케이스 사이버 보안 팀이 궁극의 사이버 전사가 될 수 있도록 교육하는 Secure Code Warrior 플랫폼을 활용했습니다.이 취약점을 해결하는 방법과 기타 위협의 도적 갤러리를 자세히 알아보려면 다음 사이트를 방문하십시오. 시큐어 코드 워리어 블로그.
지금 바로 이 취약점을 해결할 준비가 되셨나요?전장으로 가서 실력을 시험해 보세요.
%20(1).avif)
.avif)
