파일다운로드 취약점

Question

로그인 후 파일다운로드 url에 파일일련번호를 무작위로 바꾸어 호출시 민간함 파일이 다운로드 되는 취약점 같은 경우는. .보통 어떤식으로 대처를 하나요 ??ex))fileDownload.do?fileno=338139828 < 이런식으로 파일번호를 조작하여 호출하게 된다면파일이 다운로드가 되는데 만약 그 무작위로 찍은 파일번호가 민감한 파일일경우.. 해당 파일이 민감한 것을 구분하여 특정 사용자가 아닌경우 다운로드 못받도록 막는것은 어떨까요

오후 · Answer

다운로드 내려줄때 로그인된 정보를기반으로 검증하시면되죠

HJOW · Answer

저 고유번호 가지고,첨부된 본래의 컨텐츠의 접근권한을 알아낼 수는 있지 않겠어요?이를테면 게시판의 게시글번호 라든지...그럼 그 게시글 접근권한이 없는 사용자이면 거부한다거나...

오리구이 · Answer

간단하게말씀드리면 파일업로드시 접근권한 rule를 같이 저장하고 다운받는 사람의 rule 하고 비교 합니다. 좀 더 나아가면 게시판의 권한까지 보는게 맞아요ㅕ.

동도인 · Answer

fileDownload.do 를 외부에 오픈 하지말고 보안 인증을 거친 사람의 헤더나 이런걸 검증한뒤 받으면 되겠죠?

캐티 · Answer

소유자와 세션이 일치하는지 확인하면 되겠쩌. 전부터 많은 정부 홈페이지에서 위에 문제로 자료가 대량으로 털렸스빈담.

논현크루 · Answer

로그인 했더라도 리소스 마다 접근 권한 체크해야 합니다

파일다운로드 취약점

6개의 답변

기술 목록