디렉터리 인덱싱

점검 목적

 

- 디렉터리 인덱싱 취약점을 제거하여 특정 디렉터리 내 불필요한 파일 정보의 노출 및 비인가자가 민감한 
파일에 대한 접근을 차단

 

디렉터리 인덱싱 취약점이란?

- 특정 디렉터리의 초기 페이지(index.html, home.html, default.asp 등) 파일이 존재하지 않을 때 디렉터리 목록을 출력하는 취약점

 

판단 기준

 

- 양호 : 디렉터리 파일 리스트가 노출되지 않는 경우

- 취약 : 디렉터리 파일 리스트가 노출되는 경우

 

점검 방법

 

Step 1) URL 경로 중 확인하고자 하는 디렉터리 경로에 대하여 주소창에 입력하여 인덱싱 여부 확인

 

 

조치 방법(서버별)

 

Apeche

 

-  httpd.conf 파일 내 Indexes 옵션 제거 후 서버 재기동

<Directory /var/www/html>
Options Indexes FollowSymLinks
# Indexes 옵션 제거
Options FollowSymLinks
</Directory>

 

 

Tomcat

 

- web.xml 파일 내 아래 지시자 수정 후 서버 재기동

 

<init-param>
<param-name>listings</param-name>
<param-value>false</param-value>
</init-param>

 

 

IIS (6.0 이하 기준)

 

- 인터넷 정보 서비스 → 등록 정보 → 홈 디렉터리 → 디렉터리 검색 해제

 

 

IIS (7.0 이상)

 

- IIS 관리자 → 디렉터리 검색 → 사용 안 함

 

 

Nginx

 

- /etc/nginx/sites-available/default 등 파일 내 아래 지시자 수정 후 서버 재기동

 

server {
location / {
autoindex off;
}
}