[WEB] 파일 업로드 조치방법

홈페이지 파일 업로드 취약점 조치방법

파일 업로드로 인한 서버 탈취 방지

 

1. 웹서버/WAS 서버를 ROOT로 실행하지 않는다!!!!!!!!!

 

2. 권한 조정 

- 업로드파일 저장 디렉 ) chmod 755 /upload/directory

- 업로드파일) chmod 644 /upload/directory/files

// find /upload/directory -type f -exec chmod 644 {} \;

- apache.conf 등으로 업로드 파일 권한 조정. AllowOverride None 설정. (.htacccess에 의한 덮어쓰기 불가조치)

 

3. 검증

- 파일 확장자 검증 (확장자 대/소문자 우회 금지, 화이트리스트, .은 파일 이름과 가까운 맨 앞의 것으로 검증, . \ / ' 등 특수문자 입력 금지)

- MIME TYPE 검증

- 파일 크기 제한

- Magic 넘버 확인 // 이거는 가용성 많이 잡아먹긴함. 변조 가능

 

4. 식별 어렵게

- 파일 이름은 난수로 저장

- 파일 이름을 게시글과 db로 연결해서 관리하기도 함