OWASP Top 10 2013 - A4. Insecure Direct Object References (취약한 직접 개체 참조)

취약한 직접 객체 참조

 

정의 및 취약점 발생 환경

취약한 직접 객체 참조란 개발자의 부주의로 인해 파일, 디렉토리, 데이터베이스의 레코드 등이 URL 이나 변수로 내부의 객체를 노출시킬 때

발생하는 취약점이다. 직관적으로 개발자는 종종 웹 페이지를 구성할 때 예측하기 쉬운, 혹은 실제 이름을 키 값으로 사용한다. 그리고 사용자가 요청하는 페이지에 대하여 적절한 인증 절차를 생략한 경우가 이따금 발생하기 마련인데, 이런 부분을 통하여 본 취약점이 발생한다.

 

 

 

공격 유형
취약한 직접 객체 참조 취약점을 이용한 공격에는 파라미터 변조, 파일 다운로드 취약점이 있다. 직접적으로는 DB나 서버 객체에 접근을 시도하는 취약점이여서 상당히 위협적인 취약점이라 할 수 있다. 파라미터 변조 공격은 매개변수라고 불리는 파라미터를 변조하여 비정상적인
동작을 일으키는 공격이다.

 

 

 

그리고 파일 다운로드 취약점은, 파라미터 변조 취약점에서 파생된 공격이라고  생각하면 이해가 쉽다.

(마치 CSRF가 XSS에서 파생된것처럼)
파일 다운로드 취약점은 파라미터를 조작하여 절대경로가 아닌 상대 경로로 웹  어플리케이션이 설치된 디렉토리의 상위로 접근하여

시스템 중요 파일들이나 다른  파일에 접근이 가능한 공격이다. (일반적으로 디렉토리 리스팅 취약점과 동반)
서버가 리눅스로 운영된다고 가정하고, 본 서버는 abc.com 이며 사용자가 다음과 같이 파일을 다운로드 하는 URL을 요청한다고

가정한다.
http://abc.com/board.php?num=1&filename=1/a.exe

 

사용자는 위의 URL 요청으로 a.exe 라는 파일을 다운로드 하고, 이 웹 페이지에 파일 다운로드 취약점이 존재한다고 가정하면

상대 경로 접근을 이용하여 다음과 같은 URL를 요청할 수 있다.

http://abc.com/board.php?num=1&filename=../../../../../../../etc/shadow

 

여기서 ../란 상위 디렉토리를 뜻하는 상대경로 이기 때문에 자신이 현재 접근 가능한 디렉토리의 정확한 위치를 모를 경우 Root

디렉토리로 이동하기 위해 수많은 ../를 사용한다.
위와 같은 URL 접근에 성공하면 사용자는 /etc/shadow 내용을 볼 수 있게 되므로 심각한 보안 위협을 초래할 수 있다.

 

 

 

 

취약점 모의 테스트

모의 시나리오 & 테스트

테스트를 위한 본인의 개인PC는 현재 웹 서버로 사용중이며 C 드라이브가 최상위 루트 디렉토리가 된다. 이 최상위 디렉토리에는

serverinfo.txt라는 벌써 이름부터 몹시 중요하게 보여지는 서버 관련 중요 텍스트 문서가 있다. 시나리오에서는 파일 다운로드 취약점을

이용하여 이 문서를  탈취한다.  (Windows NT 6.1 이하 버전에서는 boot.ini를 탈취)

 

대부분의 웹 서버에는 다운로드를 위해 동작하는 별도의 파일이 있기 마련이며 본 서버 또한 download.php 라는 파일이 이 역할을 수행한다.

따라서 본 파일을 이용하여 다음과 같이 변조된 URL를 요청한다.

 

 

위의 사진처럼 파일 다운로드 경로에 수많은 ‘../’를 삽입하면 그 수만큼 현재 디렉토리의 상위 디렉토리에 접근하게 되며, 일반적인 웹 서버는

평균적으로 5~7회 정도 기입하면 최상위 디렉토리에 접근하게 된다.

 

 

위의 사진처럼 변조된 URL를 입력했을 시에 최상위 디렉토리에 접근하여 serverinfo.txt를 탈취하는데 성공한 결과를 볼 수 있다.

 

 

 

 

대응 방안

시큐어 코딩

 

 

위의 코드는 파일다운로드 취약점이 그대로 들어나 있는 download.php의 소스 코드이다. 한눈에 봐도 ‘../’ 문자열을 필터링 할만한

시큐어 코딩이 되어 있지 않기 때문에 이에 맞는  시큐어 코딩을 다음과 같이 한다.

 

 

 

 

위 그림과 같이 시큐어 코딩을 적용시키면 ‘../’ 문자열이 입력 되었을 시에는  Hey man!!! What are you doing?? -_-^ 이라는

문자열과 함께 경고창이 뜨며, 경고창이 닫혔을 경우에는 이전 페이지로 돌아가게 적용되어 있으며 이를 적용한 경우에는
아래 사진과 같이 된다.

 

 

 

 

 

 

 

확장자 변경

웹 어플리케이션에 포함된 서버 파일 확장자를 서버에서 실제 사용되는 언어이름으로 확장자를 바꾸면 클라이언트 측에서는 내용을

열람하거나 다운로드 할 수 없다. Server Side Script 언어이므로 *.jsp, *.asp, *.php 등이 있다.