Windows 서버 2. 서비스 관리(4)

주요정보통신기반시설_Windows 서버

2. 서비스 관리

 

2.11 IIS 파일 업로드 및 다운로드 제한

 

 

양호 : 웹 프로세스의 서버 자원 관리를 위해 업로드 및 다운로드 용량을 제한하는 경우

취약 : 웹 프로세스의 서버 자원을 관리하지 않는 경우 (업로드 및 다운로드 용량 미 제한)

 

기반시설 시스템은 파일의 업로드 및 다운로드를 원칙적으로 금지하나, 부득 이 파일의 업로드 및 다운로드 기능을 활용해야 하는 경우, 파일의 용량 제한을 설정하여 보안성 유지 및 안정적인 웹서버 자원관리를 할 수 있도록 하기 위함입니다.

 

 

단계1. 등록된 웹 사이트의 루트 디렉터리 디렉토리에 있는 web.config 파일 내 아래 항목 추가

<configuration>
 <system.webServer>
 <security>
 <requestFiltering>
 <requestLimits maxAllowedContentLength="콘텐츠용량" />
 </requestFiltering>
 </security>
 </system.webServer>
</configuration>

 

하지만 시행착오

관리자 권한으로 다시 실행 후 저장

 

 

단계2. %systemroot% \system32 \inetsrv \config \applicationHost.config 파일 내 아래 항목 추가

 

C:\Windows\System32\inetsrv\config로 들어가서 찾아줄게요

다음 코드 추가해주기

<system.webServer>
 <asp>
 <limits bufferingLimit="파일다운로드용량" maxRequestEntityAllowed="파일업로드용량"/>
 </asp>
</system.webServer

 

 

 

 

**Default 설정 값**

(1) maxAllowedContentLength (콘텐츠 용량) => Default: 30MB

(2) MaxRequestEntityAllowed (파일 업로드 용량) => Default: 200000 byte

(3) bufferingLimit (파일 다운로드 용량) => Default: 4MB(4194304 byte)

 

 

 

 

2.12 IIS DB 연결 취약점 점검

 

양호 : .asa 매핑 시 특정 동작만 가능하도록 제한하여 설정한 경우 또는 매핑이 없을 경우

취약 : .asa 매핑 시 모든 동작이 가능하도록 설정한 경우

 

global.asa 파일에는

데이터베이스 관련 정보(IP 주소, DB명, 패스워드), 내부 IP 주소, 웹 애플리케이션 환경설정 정보 및 기타 정보 등 보안상 민감한 내용이 포함되어 있으므로 해당 파일이 악의적인 사용자에게 노출될 경우 침해사고로 이어질 수 있습니다.

 

 

***참고***

global.asa 파일: 각각의 ASP(Active Server Pages) 프로그램을 위해 IIS 서버상에서 관리되는 파일.

 

 

 

인터넷 정보 서비스(IIS) 관리자> 해당 웹 사이트> IIS> "처리기 매핑" 선택, 사용 항목에 *.asa / *.asax 등록되지 않을 경우에 양호한 것입니다.

 

 

인터넷 정보 서비스(IIS) 관리자> 해당 웹 사이트> IIS> “요청 필터링” 선택, .asa / .asax 확장자가 false로 설정되어 있는지 확인합니다.

 

 

만약 true로 되어있다면 제거하고 "파일 이름 확장명 거부"에 등록하면 됩니다.

 

 

 

 

 

 

2.13 IIS 가상 디렉토리 삭제

 

 

양호 : 해당 웹 사이트에 IIS Admin, IIS Adminpwd 가상 디렉토리가 존재하지 않는 경우

취약 : 해당 웹 사이트에 IIS Admin, IIS Adminpwd 가상 디렉토리가 존재하는 경우

※ 조치 시 마스터 속성과 모든 사이트에 적용함

 

 

IIS 를 설치 시 가상 디렉토리 내에 제공되는 취약한 샘플 어플리케이션을 제거하여 잠재적인 위험을 제거하기 위해서입니다.

 

 

※ Windows 2003(6.0) 이상 버전 해당 사항 없음

 

 

 

 

 

2.14 IIS 데이터 파일 ACL 적용

 

 

양호 : 홈 디렉토리 내에 있는 하위 파일들에 대해 Everyone 권한이 존재하지 않는 경우

        (정적 콘텐츠 파일은 Read 권한만)

취약 : 홈 디렉토리 내에 있는 하위 파일들에 대해 Everyone 권한이 존재하는 경우

        (정적 콘텐츠 파일은 Read 권한 제외)

 

 

웹 데이터 파일에 ACL을 부여되지 않은 경우 권한 없는 사용자로부터의 읽기 및 실행이 가능한 것을 방지하기 위함입니다.

 

 

**참고**

ACL(Access Control List) : 접근이 허가된 주체들과 허가받은 접근 종류들이 기록된 목록

 

 

 

단계1. 시작> 실행> INETMGR> 사이트> 해당 웹사이트> 기본 설정> 홈 디렉토리 실제 경로 확인

 

 

 

 

단계2. 탐색기를 이용하여 홈 디렉토리의 등록 정보> [보안] 탭에서 Everyone권한 확인

 

 

 

단계3. 아래와 같은 파일들에 대한 불필요한 Everyone 권한 제거

 

 

 

 

 

 

2.15 IIS 미사용 스크립트 매핑 제거

 

 

양호 : 취약한 매핑(.htr .idc .stm .shtm .shtml .printer .htw .ida .idq)이 존재하지 않는 경우

취약 : 취약한 매핑(.htr .idc .stm .shtm .shtml .printer .htw .ida .idq)이 존재하는 경우

 

 

미사용 확장자 매핑을 제거하지 않은 .htr .idc .stm .shtm .shtml .printer .htw .ida .idq 확장자는 버퍼 오버플로우(Buffer Overflow) 공격 위험이 존재하기 때문에 제거해야합니다.

 

 

**참고**

 

- 스크립트 매핑 : IIS는 클라이언트가 요청한 자원의 파일 확장자에 따라서 이를 처리할 ISAPI 확장 핸들러를 지정하게 되어 있는데 이를 스크립트 매핑이라고 함

 

- 버퍼 오버플로우(Buffer Overflow) : 메모리에 할당된 버퍼의 양을 초과하는 데이터를 입력하여 프로그램의 복귀 주소를 조작, 궁극적으로 해커가 원하는 코드를 실행하는 것

 

 

 

단계1. 시작> 실행> INETMGR> 웹 사이트> 해당 웹 사이트> 처리기 매핑 선택

 

단계2. 취약한 매핑 제거(.htr, .idc, .stm, .shtm, .shtml, .printer, .htw, .ida, .idq)