마이크로소프트 지식베이스(KB-Knowledge Base)에서는 IIS 5.0의 취약점에 대한 기사가 올라가 있습니다. 이 기사에는 문제점에 대한 자세한 정보와 이 문제점을 이용하는 익스플로잇에 대한 가이드를 제공합니다.
마이크로소프트는 이러한 문제점에 대한 패치나 대안에 대해 아무런 정보를 공개하지 않고 있으며 다만 IIS 6.0으로 업데이트를 함으로써 이 문제를 해결할 수 있다고 추천합니다. 또한, 마이크로소프트는 문제의 기사에서 6가지 가이즈를 제거했지만, 중요한 점은 우리의 영원한 검색 엔진인 구글 캐시에 이 정보가 여전히 남아 있어 찾아 낼 수 있다는 점입니다.
가장 큰 문제점으로 대두되는 것은 바로 인증에 대한 부분으로 인증을 거치지 않다도 보호되는 특정한 정보에 액세스하거나 파일을 다운로드할 수 있다는 것입니다. 이러한 취약점을 막기 위해서는 .htw 스크립트 매핑을 삭제하는 방법이 있으며, 그 외에는 URLScan 필터 또는 WebKnight와 같은 URL 필터링 소프트웨어를 사용하는 것입니다.
자세한 내용은 아래 링크를 참조하십시오.
- 마이크로소프트가 제공하는 문제의 기사 - Hit-highlighting does not rely on IIS authentication
- IIS 5.0 인증 바이패스 익스플로잇 가이드 - CVE-2007-2815
참고로 IIS 5.0뿐만 아니라 IIS 5.1에서도 문제점이 나타난다고 합니다.
웹나이트에 관한 자세한 정보는 아래 링크를
참고하십시오.
NTFAQ - WebKnight(IIS 웹 서버용 공개 웹방화벽) 기술 문서 다운로드
'웹방화벽(트릿센트리) > 웹나이트-공개웹방화벽' 카테고리의 다른 글
| WebKnight 2.0 세번째 이야기.. (3) | 2007/06/21 |
|---|---|
| 웹사이트 변조 해킹의 방어에 대한 약간의 팁... (0) | 2007/06/08 |
| IIS 5.0 인증 우회 방법 공개 (0) | 2007/06/07 |
| 무료 SQL 인젝션 스캐너 15 제품 요약 정리(#2/#3) (0) | 2007/05/21 |
| 무료 SQL 인젝션 스캐너 15 제품 요약 정리(#1/#3) (0) | 2007/05/20 |
| 웹나이트 웹방화벽 동영상 및 당일 참여 사진 자료 공개 (9) | 2007/05/10 |
댓글을 달아 주세요