[논문]악성 파일 업로드 공격 대응방안 연구

김태경

doi:10.17662/ksdim.2020.16.2.053

악성 파일 업로드 공격 대응방안 연구
Research on countermeasures against malicious file upload attacks 원문보기

디지털산업정보학회논문지 = Journal of the Korea Society of Digital Industry and Information Management, v.16 no.2, 2020년, pp.53 - 59

김태경 (명지전문대학 인터넷응용보안공학과)

Abstract ▼ AI-Helper

Malicious file upload attacks mean that the attacker to upload or transfer files of dangerous types that can be automatically processed within the web server's environment. Uploaded file content can include exploits, malware and malicious scripts. An attacker can user malicious content to manipulate the application behavior. As a method of detecting a malicious file upload attack, it is generally used to find a file type by detecting a file extension or a signature of the file. However, this type of file type detection has the disadvantage that it can not detect files that are not encoded with a specific program, such as PHP files. Therefore, in this paper, research was conducted on how to detect and block any program by using essential commands or variable names used in the corresponding program when writing a specific program. The performance evaluation results show that it detected specific files effectively using the suggested method.

주제어

AI 본문요약
AI-Helper

문제 정의

본 논문에서는 악성 파일 업로드 공격 대응방법의 첫 번째인 허용 가능한 파일의 확장자만 업로드 되도록 하는 방식에서 공격자가 파일의 확장자를 변경하거나 프락시를 이용해 파일 정보를 변경해 필터링을 우회하는 방식에 대한 대응방법에 관한 연구를 수행 하였다.

제안 방법

공격은 PHP 파일의 확장자를 변경하여 웹 서버에 올리는 것으로 하였으며, 해당 패킷을 탐지하여 업로드를 차단하는 실험을 수행하였다. 웹서버에 게시판을 구현하여 c99.
따라서 본 논문에서는 특정 프로그램 작성 시 해당 프로그램에서 사용하고 있는 필수 명령어나 변수명 들을 이용하여 어떠한 프로그램인지를 탐지하여 차단하는 방법에 관한 연구를 수행하였다. 성능 평가를 수행한 결과 효과적으로 특정 파일을 탐지하는 것으로 나타났다.

성능/효과

특정한 프로그램에 의해 인코딩 된 파일의 경우에는 해당 파일에 있는 특정한 유형의 파일 시그니처를 이용하여 특정한 유형의 파일들을 탐지할 수 있다. 그러나 PHP 파일과 같은 경우에는 파일 시그니처가 존재하지 않으므로 해당 프로그램 파일에 존재하는 특정한 유형의 명령어나 변수명을 이용하여 어떠한 파일인지에 대한 탐지를 수행할 수 있다.
따라서 본 논문에서는 특정 프로그램 작성 시 해당 프로그램에서 사용하고 있는 필수 명령어나 변수명 들을 이용하여 어떠한 프로그램인지를 탐지하여 차단하는 방법에 관한 연구를 수행하였다. 성능 평가를 수행한 결과 효과적으로 특정 파일을 탐지하는 것으로 나타났다.
특정한 프로그램에 의해 인코딩 된 파일의 경우에는 해당 파일에 있는 특정한 유형의 파일 시그니처를 이용하여 특정한 유형의 파일들을 탐지할 수 있다. 그러나 PHP 파일과 같은 경우에는 파일 시그니처가 존재하지 않으므로 해당 프로그램 파일에 존재하는 특정한 유형의 명령어나 변수명을 이용하여 어떠한 파일인지에 대한 탐지를 수행할 수 있다.

후속연구

향후 연구계획으로는 기존의 파일 시그니처와 시그니처가 없는 파일들을 통합적으로 탐지하는 방법에 관한 연구를 수행할 계획이다.

질의응답

핵심어	질문	논문에서 추출한 답변
	악성 파일 업로드 공격이란 무엇인가?	악성 파일 업로드 공격은 웹 파일 업로드 기능이 존재하는 웹 애플리케이션에서 확장자 필터링이 제대로 이루어지지 않았을 경우 공격자가 악성 스크립트 파일(웹쉘)을 업로드하여 웹을 통해 해당 시스템을 제어할 수 있어 명령어 실행 및 디렉터리 열람이 가능하고 웹 페이지 또한 변조가 가능한 취약점이다 [1]. 악성 파일 업로드 공격은 직접적으로 파일을 업로드 하는 경우에도 발생할 수 있지만, RFI(Remote File Inclusion) 공격을 수행하는 경우에도 악성 파일을 업로드 하여 공격을 수행할 수 있다.
	악성 파일 업로드의 대응 방안은 무엇인가?	악성 파일 업로드를 이용한 공격의 일반적인 대응 방법으로는 첫 번째로 허용 가능한 파일의 확장자만 업로드 되도록 화이트리스트 기반 확장자 검사를 수행하는 것이 있으며[3], 두 번째로는 악성 파일이 업로드 되어도 실행을 할 수 없도록 웹서버의 설정을 통해 파일이 업로드되는 디렉터리에 스크립트 파일의 실행 권한을 제거하는 것이다. 마지막으로 악성파일이 업로드 되었다고 하더라도 공격자가 웹을 통해 해당 파일에 접근할 수 없도록 디렉터리를 별도로 지정하는 방식이 있다[4]
	파일 시그니처 기반으로 악성파일을 식별하는 것의 문제점은 무엇인가?	이러한 공격을 탐지하는 방법으로는 일반적으로 파일의 확 장자나 파일의 시그니처를 탐지하여 파일의 종류를 확인하는 방법이다. 그러나 이러한 방식의 파일 종류 탐지는 PHP 파일과 같이 특정 프로그램으로 인코딩되지 않은 파일은 탐지할 수 없다는 단점을 가지고 있다.

참고문헌 (9)

김수정.하지희.오수현.이태진, "정적 분석 기반 기계학습 기법을 활용한 악성코드 식별 시스템 연구," 정보보호학회논문지, 제29권, 제4호, 2019, pp.775-784.

원문보기 상세보기
Cisco 2018 annual cybersecurity report, Cisco, 2018.
하정우.김휘강.임종인, "WhiteList 기반의 악성코드 행위분석을 통한 악성코드 은닉 웹사이트 탐지 방안 연구," 정보보호학회논문지, 제21권, 제4호, 2011, pp.61-75.

원문보기 상세보기
Zhi-Yong Li, Ran Tao, Zhen-He Cai, Hao Zhang. "A Web Page Malicious Code Detect Approach Based on Script Execution," ICNC.09, Fifth International Conference, 2009, pp.308-312.
김광현, "웹 취약점 분석을 위한 프락시 시스템의 설계 및 구현," 한국정보통신학회논문지, 제18권, 제9호, 2014, pp.1011-1018.
박재연.이송연.이하은.이종우, "리눅스 아파치 웹 서버 실시간 로그 분석을 통한 공격 탐지 프로그램 개발," 정보과학회 컴퓨팅의 실제 논문지, 제24권, 제4호, 2018, pp.190-197.

상세보기
P. M. Wrench, B. V. W. Irwin, "Towards a PHP webshell taxonomy using deobfuscation-assisted similarity analysis," 2015 Information Security for South Africa (ISSA), Johannesburg, 2015, pp.1-8.
이인복.오성일, "시그니처 기반 침입 탐지 시스템의 최적화," 정보과학회지, 제33권, 제6호, 2015, pp.55-60.

원문보기 상세보기
Snort. http://www.snort.org.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증