파라미터 변조로 파일 다운로드 뚫리는거 어떻게 막을 수 있을까요 ㅠㅠ..

Question

아직 상용 오픈전인 서비스입니다파일 다운로드하는 url이 파라미터를 파일 시퀀스로 받고 있습니다.제가 초기부터 개발 참여한 건 아니고 신입이라 그냥 있는 코드에 보완작업만 하는중인데보안 이슈리스트에 해당 사항이 올라와서 찾아보니url 뒤에 2만 붙여서 그 페이지에서만 검증할수 있는 방법으로 검증하는 로직만 추가해놨더라구요...당연히 원래 다운받는 url로 그 페이지에서 날리면 모조리 다운받아집니다...일처리방식이 너무 어이가 없는데애초에 시퀀스만 넘겨서 다운받을수 있게 해놓은게 공통 로직인것부터가 문제 같아요이럴때 해결 방법이 있을까요....? 시퀀스 자체를 UUID 난수로 넣도록 바꾸자니무차별 공격에 어차피 뚫리지 않을까 하는 걱정이 있구요..초보라 어디부터 손대야 할지 모르겠고 막막하고 답답하네요...

캐티 · Answer

로그인한 경우에 다운로드가 되도록 하는 것이 가장 일반적이고 결제가 이루어진 다운로드인 경우에는 유니크 아이디를 발급하고 아이디가 있으면 다운로드를 승인하면서 유니크 아이디를 지우거나 사용 완료 처리를 하겠어요.서비스의 목적에 따라 다르게 구현될 수 있어서 잘 생각해보면 좋지 않겠나요.

지붕뚫고높이차 · Answer

토큰 사용하세요.파일 다운로드 링크 만들때파라메터 &#61; 암호화(넌스&#43;시간정보&#43;파일아이디&#43;세션키)형태 토큰을 만들고파일다운로드시 검증하면 될것 같습니다.

파라미터 변조로 파일 다운로드 뚫리는거 어떻게 막을 수 있을까요 ㅠㅠ..

2개의 답변

기술 목록