[주요정보통신기반시설] 10. 악성 콘텐츠

오늘 공부해볼 주제는 악성 콘텐츠 취약점입니다.

해당 취약점의 경우 XSS를 포함할 수 도 있고, 혹은 파일 업로드 취약점을 포함할 수도 있습니다.

따라서 해당 취약점에 대해서 점검하는 방법에 대해서 알아보고자 합니다.

 

이 취약점에 대해서는 주로 특정 확장자(주로 exe파일)이 업로드 가능한지 여부를 파악하는 편입니다. 

[주요정보통신기반시설]에 따르면 아래와 같이 점검방법을 알려주고 있기 때문입니다.

■ 점검방법
Step 1) 콘텐츠 삽입 및 파일 업로드 제한 필터링 적용 여부 점검
Step 2) 게시판 등의 페이지에서 강제적으로 이뤄지는 악의적인 프로그램 다운로드 및 콘텐츠
자동 실행이나 악의적인 사이트로의 이동이 발생하는지 확인

 

많이 사용하는 시나리오는 아래와 같습니다.

 

서버에서 허용된 확장자로 업로드 하려는 프로그램의 확장자를 변경합니다. 

이후 확장자를 .exe형태로 바꾸고 MIME-Type을 변경하는 방식으로 하여 서버에 업로드 시킵니다.

서버에 실행 가능한 형태로 올라가면 취약으로 판단합니다. 혹은 %00삽입시 실행 가능한 형태로 올라가는 형태도 있습니다.

이외에는 여러가지 패턴이 있을 수 있지만 프록시 도구를 이용하였을 때 우회에 의한 삽입 여부를 판단하여 취약성을 판단합니다.

동영상 삽입이나 이런 부분은 주로 태그를 통한 삽입이 있고, 링크삽입도 태그를 통한 삽입을 필요로 하기 때문에 이는 XSS부분에서 더 확인해볼 예정입니다.

 

이상입니다.````