IIS 디렉토리 리스팅 제거

IIS 디렉토리 리스팅 제거

 

(평가항목)

IIS 디렉토리 리스팅 제거

---

(취약점 ID)

SRV-049

---

(평가목적)

디렉토리 리스팅은 디렉토리에 대한 요청시 그 디렉토리에 기본 문서가 존재하지 않을 경우 디렉토리 내에 존재하는 모든 파일들의 목록을 출력하므로, 해당 서비스가 활성화 되어 있는 경우 외부에서 디렉토리 내의 모든 파일들에 대한 접근이 가능하여 백업 파일이나 소스 파일 등 중요 파일이 외부에 노출될 수 있으므로, 해당 서비스의 보안설정 적절성 여부를 점검

 

---

(판단기준)

디렉터리 리스팅 사용으로 설정된 경우“취약”으로 판단

 

---

(판단방법)

IIS 설정 파일인 metabase.xml , applicationHost.config 에서 Directory Browsing 관련 Flag 확인

 

(직접 확인)

윈도우 2003 (IIS 6.0) 이하 : 시작 > 실행 > INETMGR > 웹 사이트 > 속성 > 홈 디렉터리에서 "디렉터리 검색" 체크 확인

 

윈도우 2008 (IIS 7.0) 이상 : 시작 > 실행 > INETMGR > 웹 사이트 > 디렉터리 검색에서 "디렉터리 검색" 사용 확인