[보안취약점] U-35. 서비스 관리-Apache 디렉터리 리스팅 제거

■ 점검항목 설명

디렉터리 검색 기능 활성화되어있을 경우 WEB 서버 구조 노출뿐만 아니라 백업 파일이나 소스파일 공개되어서는 안 되는 파일이 노출되므로 디렉터리 검색 기능을 비활성화하여야 한다.

■ 점검기준

양호	디렉터리 검색이 불가능한 경우
취약	디렉터리 검색이 가능한 경우

■ 점검방법

취약한 경우 

1. <Directory>의 Options 값에 indexes가 포함된 설정이 하나라도 존재하는 경우

2. <Directory>의 Options 값에 빈 값 설정이 하나라도 존재하고, 버전이 2.3.11 미만인 경우

3. 모든 설정 파일에서 <Directory>의 Options 지시자가 존재하지 않고, 버전이 2.3.11 미만인 경우 

■ 대응방안

▷ 설정 파일의 모든 <Directory>의 Options 값에 "indexes" 제거하거나 "-indexes"를 추가 

▷ 경로 /etc/httpd/conf

▷ 파일 : vi httpd.conf

경로

전

후 Indexes 제거 

설정값	설명
None	모든 허용을 하지않음
ALL	Multiviews를 제외한 모든 옵션 허용
indexes	Directoryindex에 지정한 파일이 존재하지 않을경우 디렉터리내의 모든 파일 목록을 브라우저에 보여준다.
includesNOEXEC	SSI 사용하면서 시스템에 위험한 SSI의 실행태그는 허용하지 않겠다는 설정이다.
FollowSymLinks	심볼릭 링크를 허용한다.
ExecCGI	perl과 같은 CGI 실행을 허용한다.
MultiViews	웹브라우저의 요청에 따라 적절한 페이지를 보여준다.