디렉터리 탐색

디렉터리 트래버설(‘경로 탐색’이라고도 함)은 웹 서버와 웹 애플리케이션의 취약점을 악용하는 사이버 공격 기법입니다.

일반적으로 웹 서버 관리자는 사용자가 접근할 수 있는 루트 디렉터리를 지정하고, 사용자가 접근할 수 있는 파일을 특정 하위 디렉터리로 제한합니다. 그러나 파일 이름이나 경로를 지정하는 사용자 입력이 적절히 정제되지 않으면 공격자는 "../"와 같이 특수하게 조작된 문자열을 악용하여 상위 디렉터리로 이동(디렉터리 "순회")할 수 있습니다. 이러한 취약점으로 인해 악의적인 사용자가 지정된 디렉터리를 벗어나 민감하거나 숨겨진 파일 및 디렉터리에 무단으로 접근할 수 있으며, 이는 정보 유출이나 시스템 침해로 이어질 수 있습니다.

디렉터리 탐색 공격을 방지하려면 웹 관리자는 애플리케이션 스크립트가 액세스할 수 있는 디렉터리를 제한하는 등의 보안 조치를 구현해야 합니다(예: PHP "php.ini" 파일에서 'open_basedir' 설정을 구성하여 파일 포함 경로 제한). Apache와 같은 웹 서버를 사용할 때는 디렉터리 목록 표시를 방지하기 위해 "httpd.conf" 파일에서 "Indexes" 옵션을 제거하거나 비활성화하는 것이 중요합니다. 디렉터리 목록이 표시되면 공격자가 디렉터리의 내용을 확인할 수 있어 명명 패턴이 노출되고 추가 공격 시도가 용이해집니다.

또한 웹 애플리케이션 방화벽(WAF)을 사용하면 디렉터리 탐색 공격을 효과적으로 완화할 수 있습니다. F5는 F5 BIG-IP Application Security Manager (ASM)에서 강력한 WAF 기능을 제공하여 경로 탐색 및 이와 유사한 웹 취약점으로부터 보호할 수 있도록 지원합니다.