취약점 점검결과 문의
본문
웹 취약점 점검결과가 전달되어 고민입니다.
어떤식으로 처리해야 할지 그누보드는 써본 적이 없어서요.
환경이 그누보드5 + php5.3
------------------------------------------------------------------------------------------
(문의1 : 위치공개 )
/system/install/install_config.php
/system/LICENSE.txt
위치공개 로 취약점 진단되었는데 install 디렉토리는 rename 해도 될 것 같고,
/system/LICENSE.txt의 경우 어떻게 조치해야 할까요?
------------------------------------------------------------------------------------------
(문의2 : 정보누출)
로그인 안한 상태에서 로그인해야 접근가능한 소스를 접근할 때, 서버내 정보가 누출되는 부분
해결책이 있을까요?
(예1) /system/hpbbs/register.php : 서버내 경로가 그대로 나오는 부분 조치 방법?
(예2) /system/mobile/content.php ->모바일 사용안하는데 rename처리하면 될지?
------------------------------------------------------------------------------------------
답변 2
※ 위치공개 취약점 - -
1. /system/install/install_config.php
설치 디렉토리는 설치 완료 후 더 이상 사용되지 않으므로 삭제가 가장 안전한 방법.
삭제가 아니라면 디렉토리명을 변경하거나 웹 서버 설정으로 접근을 차단.
＊Apache에서는 .htaccess 파일에 아래 내용을 추가:
<Directory /path/to/system/install>
Deny from all
</Directory>
location /system/install {
deny all;
}
2. /system/LICENSE.txt
라이선스 파일은 시스템 작동에 필수적이지 않으므로 삭제하거나, 접근을 제한.
＊.htaccess 파일:
<Files LICENSE.txt>
Order allow,deny
Deny from all
</Files>
location /system/LICENSE.txt {
deny all;
}
※ 정보누출 취약점 - -
1. 서버 정보 노출 해결
＊PHP 설정 변경: php.ini에서 display_errors를 Off로 설정하여
에러 메시지가 외부로 출력되지 않도록 함.
display_errors = Off
log_errors = On
error_log = /path/to/php_error.log
＊직접 호출 방지:
노출 가능성이 있는 파일의 최상단에 다음 코드를 추가해 직접 접근을 차단:
if (!defined('G5_PATH')) {
die('Access Denied');
}
2. 사용하지 않는 모바일 페이지 처리
＊/system/mobile/ 디렉토리는 사용하지 않는다면 삭제가 가장 안전하며,
삭제가 어렵다면 디렉토리명을 변경하여 비활성화.
＊접근 제한을 위해 위와 동일한 .htaccess 또는 Nginx 설정을 적용.
3. 전체적인 접근 제한
/system/ 디렉토리 전체를 외부에서 직접 접근하지 못하도록 서버 설정으로 보호:
＊Apache:
<Directory /path/to/system>
Deny from all
</Directory>
location /system {
deny all;
}
※ 권장 사항 - -
1. 최신화
＊PHP 5.3은 더 이상 지원되지 않으므로
보안 패치가 적용된 최신 버전(PHP 7.x 이상)으로 업그레이드.
＊그누보드5의 최신 버전으로 업데이트하여 알려진 보안 취약점을 제거.
2. 접근 권한
＊서버 파일 및 디렉토리 권한을 엄격하게 설정.
예) chmod 755 디렉토리, chmod 644 파일
3. 로그 관리 및 모니터링
＊의심스러운 요청이 발생했는지 확인하기 위해
웹 서버와 PHP 에러 로그를 정기적으로 점검.
웹서버 설정과 디렉토리 관리리 어느정도 해결가능할 것 같네요. 큰 도움이 되었습니다.
답변 감사합니다.^^