728x90 반응형 iis13 IIS 디렉토리 리스팅 제거 IIS 디렉토리 리스팅 제거 (평가항목) IIS 디렉토리 리스팅 제거 (취약점 ID) SRV-049 (평가목적) 디렉토리 리스팅은 디렉토리에 대한 요청시 그 디렉토리에 기본 문서가 존재하지 않을 경우 디렉토리 내에 존재하는 모든 파일들의 목록을 출력하므로, 해당 서비스가 활성화 되어 있는 경우 외부에서 디렉토리 내의 모든 파일들에 대한 접근이 가능하여 백업 파일이나 소스 파일 등 중요 파일이 외부에 노출될 수 있으므로, 해당 서비스의 보안설정 적절성 여부를 점검 (판단기준) 디렉터리 리스팅 사용으로 설정된 경우“취약”으로 판단 (판단방법) IIS 설정 파일인 metabase.xml , applicationHost.config 에서 Directory Browsing 관련 Flag 확인 (직접 확인) 윈도우.. 2020. 12. 31. IIS 서비스 구동 점검 IIS 서비스 구동 점검 (평가항목) IIS 서비스 구동 점검 (취약점 ID) SRV-048 (평가목적) Windows 시스템 구동 시 불필요한 서비스들이 설치되어 실행되고 있는 경우가 존재하며 이러한 서비스 중 실제 필요하지 않은 서비스는 시스템의 성능 저하를 야기할 수 있고, 잠재적인 보안 취약점이 발생할 수 있으므로 해당 서비스가 업무에 관계없이 활성화되어 있는지 여부를 점검 (판단기준) IIS 서비스가 불필요하게 동작 중인 경우“취약”으로 판단 업무 상 사용 중일 경우 취약점 제외 (판단방법) (다음 명령들의 결과로 서비스 상태 확인) sc query IISadmin sc query w3svc sc query was (직접 확인) Services.msc 혹은 제어판>관리도구>서비스를 실행하여 II.. 2020. 12. 31. IIS CGI 실행 제한 IIS CGI 실행 제한 (평가항목) IIS CGI 실행 제한 (취약점 ID) SRV-041 (평가목적) CGI(Common Gateway Interface)는 사용자가 서버로 보낸 데이터를 서버에서 작동중인 데이터처리 프로그램에 전달하고, 여기에서 처리된 데이터를 다시 서버로 되돌려 보내는 등의 일을 하는 프로그램 으로 CGI 스크립트는 정해진 디렉토리에서만 실행되도록 제한이 필요함. 게시판/자료실 등과 같이 업로드 파일이 저장되는 디렉토리에서 CGI 스크립트 실행이 가능하면 악의적인 파일을 업로드하고 이를 실행할 수 있으므로 이에 대한 제한 설정 여부를 점검 (판단기준) 해당 디렉터리의 권한을 확인하여 Everyone 의 모든권한, 수정권한, 쓰기권한이 부여되어 있을 경우“취약”으로 판단 (판단방법).. 2020. 12. 31. 이전 1 2 다음 728x90 반응형