오류 별 디렉터리 열거. CVSS3.1 및 수정

Aug 20 2020

이 시나리오를 고려해 봅시다. https://www.example.com/existentdirectory웹 응용 프로그램을 검색하면 "디렉터리 목록이 거부되었습니다"라는 오류가 표시됩니다.

https://www.example.com/nonexistentdirectory웹 응용 프로그램을 검색하면 "파일 디렉터리를 찾을 수 없습니다"라는 오류가 표시됩니다.

나에게 이것은 공격자가 디렉터리를 열거하고 대상에 대한 정보를 얻을 수있는 기회를 나타냅니다.

다음 CVSS3.1 벡터를 할당합니다.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

그러나 수정 부분은 어떻습니까? 정말 필요한가요? 두 응답 모두에 일반 오류를 사용하는 것이 비생산적인 조언입니까?

답변

1 Sibwara Aug 20 2020 at 10:54

내부 트리 구조가 "비밀"이라고 할 수있는 것과 정확히 일치하지 않기 때문에 정확한 CVSS 점수를 결정하는 것은 어렵습니다.
따라서 기밀성 영향에 대해 논의해야합니다.

표적에 대한 정보를 얻으면 추가 공격이 더 간단 해지지 만 공격은 아닙니다.
이 차이는 때때로 "취약성"과 다른 "비준수"개념으로 구체화됩니다.

이 특정 예제의 수정은 종종 모든 오류를 캡처 및 기록하고 (따라서 500 오류 및 기타 중요한 오류가있을 때 알림을 받음) 브라우저에 코드 200 OK와 함께 일반 오류 메시지를 표시하는 것입니다.
이렇게하면 많은 웹 스캐너를 제거 할 수도 있습니다.