경로 탐색 (Path Traversal)

경로 탐색 공격 기법, 제한된 디렉토리 밖의 파일 접근 시도를 탐지하고 방어하는 방법을 설명합니다.

설명 # 많은 파일 작업은 제한된 디렉토리 내에서 수행되도록 설계됩니다. 공격자는 .. 나 / 구분자와 같은 특수 요소를 사용하여 제한된 위치를 벗어나 시스템의 다른 곳에 있는 파일이나 디렉토리에 접근할 수 있습니다. 가장 일반적인 특수 요소 중 하나는 ../ 시퀀스로, 대부분의 현대 운영 체제에서 현재 위치의 상위 디렉토리로 해석됩니다. 이를 상대 경로 탐색이라고 합니다. 경로 탐색은 /usr/local/bin 과 같은 절대 경로명의 사용도 포함하며, 이 역시 예상치 못한 파일에 접근하는 데 유용할 수 있습니다. 이를 절대 경로 탐색이라고 합니다. 많은 프로그래밍 언어에서 null 바이트( 0 또는 NULL )를 주입하면 공격자가 생성된 파일명을 잘라내어 공격 범위를 넓힐 수 있습니다. 예를 들어, 소프트웨어가 모든 경로명에 .txt 를 추가하여 공격자를 텍스트 파일로만 제한하더라도, null 주입으로 이 제한을 효과적으로 제거할 수 있습니다. 이 검사는 요청의 파라미터(경로, 쿼