잡담#2

http://nchovy.kr/forum/2/article/434 에 대한 트랙백.

해당 문제는 http://secunia.com/advisories/16433/ 와 같이, 다중확장자를 가진 파일을 업로드할 때 문제가 됩니다.
해당 문제를 해결하기 위해선 Apache에서 디렉터리에 대해 명시적으로 -MultiViews 옵션을 주어 기능을 비활성화하면 됩니다.

왜 옵션명이 MultiView 냐면, 사용자가 접속한 지역이나 언어 설정, 혹은 선호하는 기준에 따라 사용자에게 다른 페이지를 보여주고 싶을 때 사용하기 때문입니다.
참고 :
1. http://httpd.apache.org/docs/1.3/content-negotiation.html
2. http://httpd.apache.org/docs/1.3/mod/mod_negotiation.html
3. http://httpd.apache.org/docs/1.3/mod/mod_mime.html
(이 기능은 사양이지 취약점이 아닙니다).

Apache 코드를 분석해보면 이 기능 구현에 몇몇 모듈이 관여하고 있는 것을 알 수 있는데, 서버 측의 Mime 설정과 관련하여 복잡하게 돌아갑니다.

Apache 매뉴얼에도 나와 있듯이
"If the server receives a request for /some/dir/foo and /some/dir/foo does not exist, then the server reads the directory looking for all files named foo.*, and effectively fakes up a type map which names all those files, assigning them the same media types and content-encodings it would have if the client had asked for one of them by name. It then chooses the best match to the client's requirements, and returns that document."

위와 같은 동작이 발생하고,
파일명을 오른쪽에서 왼쪽으로 파싱해나가면서, Apache가 설정 파일을 통해 파악할 수 있는 MIME type 이나 Handler가 나올 때까지 계속 진행합니다. 그러다, 적절한 파일로 판명이 되면 그에 대한 처리를 하는 것이죠. (물론 실제 알고리즘은 훨씬 복잡합니다만, 대체로 오른쪽에서 왼쪽으로 간다고 생각하면 됩니다)

따라서 a.php.rar 나 a.php.hwp 와 같이 Default로 Apache 설정 파일에 MIME type이나 Handler 설정이 없는 확장자에 대해선 가장 오른쪽의 rar, hwp 확장자를 무시하고, 다음의 php 확장자를 본 후, AddHandler (혹은 AddType)에 php 설정이 있기 때문에, PHP 처리기로 넘기는 것입니다. 물론 a.php.foo.bar.rar 같은 형태도 가능합니다.

다국어 지원이나 사용자의 Accept 헤더 MIME type 설정에 따른 지능적인 처리를 원하시면 Default 상태인 해당 상태로 두면되지만, 국내 사용자를 대상으로 일반적인 서비스를 할 때는 -MultiViews 를 명기하면 다중 확장자 업로드 문제로부터 안전합니다.

근데, 이 테크닉은 무척 오래된 것인데 왜 요새 주목받는지 이해가 잘...

참고: 제가 2004년에 발표했던 http://www.securityfocus.com/archive/1/384643 보안 권고문을 보셔도 심플하게 잘 설명되어 있습니다.

이글루스 가든 - professional secur...