다음 중 파일 업로드 공격 취약점의 대응 방법으로 올바르지 못한 것은? | [정보보안기사 필기] 15년 1회차 기출문제 상세 페이지
1[정보보안기사 필기] 15년 1회차
다음 중 파일 업로드 공격 취약점의 대응 방법으로 올바르지 못한 것은?
1
첨부 파일에 대한 검사는 반드시 클라이언트 측에서 스크립트로 구현한다.
2
첨부 파일을 체크하여 특정 종류의 파일만 첨부한다.
3
파일 업로드 시에 실행 파일은 파일 첨부를 불가능하게 한다.
4
임시 디렉토리에서 업로드된 파일을 지우거나 다른 곳으로 이동한다
해설
첨부 파일에 대한 검증을 클라이언트 측 스크립트에만 맡기면 공격자가 요청을 조작해 검증을 손쉽게 우회할 수 있어, 이는 올바른 대응이 아니다.
파일 업로드 취약점을 막으려면 클라이언트가 아니라 서버 측에서 확장자와 내용을 검증해야 한다.
- 허용할 파일 종류를 정해 그 외에는 첨부를 막는 것은 올바른 대응이다.
- 실행 가능한 파일 형식을 업로드하지 못하게 막는 것도 올바른 대응이다.
- 업로드된 파일을 임시 디렉토리에서 지우거나 다른 위치로 옮기는 것도 올바른 대응이다.
클라이언트 쪽 검사는 우회가 쉬워, 최종 검증은 반드시 서버에서 이뤄져야 한다.
내용에 오류가 있거나 최신 법령·기준과 다른 부분이 보이면 알려주세요. 확인 후 반영하겠습니다.