IT's TIENE

KISA 한국인터넷진흥원 21-03-31 기준 KISA 한국인터넷진흥원 www.kisa.or.kr ■ Windows 2000(IIS 5.0), 2003(IIS 6.0) 1) 시작> 실행> INETMGR> 웹 사이트> 해당 웹 사이트> 속성> [홈 디렉토리] 탭에서 [구성] 버튼 선택 2) [매핑] 탭에서 아래와 같은 취약한 매핑 제거 확장자명 기능 취약점 asp Active Server Pages 기능 지원 Buffer Overflow MS02-018 • Win 2000 SP3 이상 양호 htr Web-based password reset: Outlook Web Access 등에서 웹 기반 응용 프로그램으로 자신의 사용자 계정 암호 변경 +.htr 소스 공개 취약점 MS01-004 • Win 2000 S..

KISA 한국인터넷진흥원 21-03-31 기준 KISA 한국인터넷진흥원 www.kisa.or.kr ■ Windows 2000(IIS 5.0), 2003(IIS 6.0) 1) 시작> 실행> INETMGR> 웹 사이트> 해당 웹사이트> 속성> 홈 디렉토리 경로 확인 2) 탐색기를 이용하여 홈 디렉토리의 등록정보> [보안] 탭에서 Everyone 권한 확인 3) 아래와 같은 파일들에 대한 불필요한 Everyone 권한 제거 파일 형식 액세스 제어 목록 CGI(.exe / .dll / .cmd / .pl) 모든 사람(X). 관리자/시스템(전체 제어) 스크립트 파일(.asp) 모든 사람(X). 관리자/시스템(전체 제어) 포함 파일(.inc / .shtm / .shml) 모든 사람(X). 관리자/시스템(전체 제어)..

KISA 한국인터넷진흥원 21-03-31 기준 KISA 한국인터넷진흥원 www.kisa.or.kr ■ Windows 2000(IIS 5.0) 1) 시작> 실행> INETMGR> 웹 사이트> IISAdmin, IISAdminpwd 선택> 삭제 ※ Windows 2003(6.0) 이상 버전 해당 사항 없음

KISA 한국인터넷진흥원 21-03-31 기준 KISA 한국인터넷진흥원 www.kisa.or.kr ■ Windows 2000(IIS 5.0), 2003(IIS 6.0) 1) asa 매핑 등록 확인 인터넷 정보 서비스(IIS) 관리자> 웹 사이트> 해당 웹 사이트> 속성> [홈 디렉토리] 탭에서 구성> [매핑] 탭 선택 후 .asa 매핑이 등록되어 있는지 확인 2) asa 매핑 등록되어 있다면 특정 동작만 가능하도록 설정되어 있는지 확인 - [매핑] 탭에서 [편집] 내용이 다음과 동일하게 설정되어 있는지 확인 - 동사> 다음으로 제한> GET, HEAD, POST, TRACE 입력 - 스크립트 엔진 체크 - 파일이 있는지 확인 체크 ■ Windows 2008(IIS 7.0), 2012(IIS 8.0), 2..

KISA 한국인터넷진흥원 21-03-31 기준 KISA 한국인터넷진흥원 www.kisa.or.kr ■ Windows NT, 2000, 2003 1) 시작> 실행> SERVICES.MSC> IISADMIN> 속성> [일반] 탭에서 서비스 중지 2) %systemroot%\system32\inetsrv\MetaBase.xml 파일을 찾아 편집기로 OPEN - AspMaxRequestEntityAllowed 값을 찾아 파일 업로드 용량을 최소 범위로 제한 - AspBufferingLimit 값을 찾아 파일 다운로드 용량을 최소 범위로 제한 3) 시작> 실행> SERVICES.MSC> IISADMIN> 속성> [일반] 탭에서 서비스 시작 ■ Windows 2008, 2012, 2016, 2019 1) 등록된 웹..

KISA 한국인터넷진흥원 21-03-31 기준 KISA 한국인터넷진흥원 www.kisa.or.kr ■ Windows 2000(IIS 5.0), 2003(IIS 6.0) 1) 인터넷 정보 서비스(IIS) 관리> 해당 웹사이트> 속성> [홈 디렉토리] 탭 선택> "로컬 경로"에서 홈 디렉토리 위치 확인 2) 로컬 경로에 입력된 홈 디렉토리로 이동하여 바로가기 파일 삭제 ■ Windows 2008(IIS 7.0), 2012(IIS 8.0), 2016(IIS 10.0), 2019(IIS 10.0) 1) 제어판> 관리도구> 인터넷 정보 서비스(IIS) 관리자> 해당 웹사이트> 기본 설정> "실제 경로"에서 홈 디렉토리 위치 확인 2) 실제 경로에 입력된 홈 디렉토리로 이동하여 바로가기 파일 삭제

KISA 한국인터넷진흥원 21-03-31 기준 KISA 한국인터넷진흥원 www.kisa.or.kr ■ Windows NT, 2000, 2003 1) 시작> 제어판> 관리도구> 컴퓨터 관리> 로컬 사용자 및 그룹> 사용자 선택 2) nobody 계정 추가(nobody 계정의 소속 그룹에 정해진 User가 있으면 제거) 3) 시작> 제어판> 관리도구> 로컬 보안 정책> 로컬 정책> 사용자 권한 할당 선택, "서비스 로그온"에 "nobody" 계정 추가 4) 시작> 실행> SERVICES.MSC> IIS Admin Service> 속성> [로그온] 탭의 계정 지정에 nobody 계정 및 패스워드 입력 5) 시작> 프로그램> 윈도우 탐색기> IIS 가 설치된 폴더 속성> [보안] 탭에서 nobody 계정을 추가..

KISA 한국인터넷진흥원 21-03-31 기준 KISA 한국인터넷진흥원 www.kisa.or.kr ■ Windows 2000(IIS 5.0), 2003(IIS 6.0) 1) Sample 디렉토리 확인 후 삭제함 c:\inetpub\iissamples c:\winnt\help\iishelp (IIS 설명서) c:\program files\common files\system\msadc\sample (데이터 액세스) %SystemRoot%\System32\Inetsrv\IISADMPWD ※ IIS 7.0(Windows 2008) 이상 버전 해당 사항 없음

KISA 한국인터넷진흥원 21-03-31 기준 KISA 한국인터넷진흥원 www.kisa.or.kr ■ Windows 2000(IIS 5.0), 2003(IIS 6.0) 1) 인터넷 정보 서비스(IIS) 관리> 해당 웹사이트> 속성> 홈디렉토리> 구성> [옵션] 탭 에서 "부모 경로 사용" 의 체크박스 해제 확인 ■ Windows 2008(IIS 7.0), 2012(IIS 8.0), 2016(IIS 10.0), 2019(IIS 10.0) 1) 제어판> 관리도구> 인터넷 정보 서비스(IIS) 관리자> 해당 웹사이트> IIS> ASP 선택, "부모 경로 사용" 항목 "False" 설정 확인

KISA 한국인터넷진흥원 21-03-31 기준 KISA 한국인터넷진흥원 www.kisa.or.kr ■ Windows 2000(IIS 5.0), 2003(IIS 6.0), 2008(IIS 7.0), 2012(IIS 8.0), 2016(IIS 10.0), 2019(IIS 10.0) 1) 탐색기> 해당 디렉토리> 속성> 보안 (기본 CGI 디렉토리 위치 C:\inetpub\scripts) 2) Everyone 의 모든 권한, 수정 권한, 쓰기 권한 제거 ※ IIS 초기 구축시에는 scripts 폴더가 생성되지 않을 수 있음 - Window Server 2016 초기 구축 작업 후, 확인 결과 폴더가 없었다