악성파일업로드(Malicious File Upload)

1

파일 업로드 기능 이용 시 파일 확장자(.exe, .bat, .sh, .dll 등) 검증 여부 확인

1

임의 악성 파일에 대하여 정상적으로 업로드 가능 여부 확인

1

업로드된 파일 경로 접근 시 파일이 정상적으로 실행되는지 확인

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29

private static final String[] ALLOWED_EXTENSIONS =
    {"jpg", "png", "pdf", "txt"};

// 파일명 정규화
private static String normalizeFilename(String filename) {
    if (filename == null) return null;

    String name = URLDecoder.decode(filename, StandardCharsets.UTF_8);
    name = Normalizer.normalize(name, Normalizer.Form.NFC);
    name = name.replace("\0", "");  // NULL 바이트 제거
    name = name.replaceAll("[<>:\"/\\\\|?*]", "");
    name = name.replaceAll("^[.\\s]+|[.\\s]+$", "");

    return name;
}

// 확장자 추출 및 이중 확장자 차단
private static String getExtension(String filename) {
    String safe = normalizeFilename(filename);
    int dotCount = safe.length() - safe.replace(".", "").length();

    // 이중 확장자 차단
    if (dotCount != 1) return "";

    int idx = safe.lastIndexOf('.');
    if (idx == -1) return "";

    return safe.substring(idx + 1).toLowerCase();
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

private static final Set<String> ALLOWED_MIME = Set.of(
    "image/jpeg",
    "image/png",
    "application/pdf",
    "text/plain"
);

// Apache Tika를 이용한 MIME 타입 검증
Tika tika = new Tika();
String mime = tika.detect(file.getInputStream());

if (!ALLOWED_MIME.contains(mime)) {
    throw new IOException("허용되지 않은 파일 유형");
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

public String saveFile(MultipartFile file, String uploadDir) throws IOException {
    String original = file.getOriginalFilename();
    String ext = getExtension(original);

    if (!ALLOWED_EXTENSIONS.contains(ext)) {
        throw new IOException("허용되지 않은 확장자");
    }

    // 파일명 난수화 (UUID 사용)
    String newName = UUID.randomUUID().toString().replace("-", "") + "." + ext;

    // 저장 경로 (웹 루트 외부 권장)
    Path savePath = Paths.get(uploadDir, newName);
    file.transferTo(savePath.toFile());

    return newName;
}

1
2
3
4
5
6
7
8

// Spring Boot 설정
spring.servlet.multipart.max-file-size=10MB
spring.servlet.multipart.max-request-size=10MB

// 또는 코드에서 검증
if (file.getSize() > 10 * 1024 * 1024) {
    throw new IOException("파일 크기 초과 (최대 10MB)");
}

1
2
3
4
5
6
7

// 웹 루트 외부에 저장 권장
String uploadDir = "/var/uploads/files";

// 업로드된 파일의 실행 권한 제거
Path uploadedFile = Paths.get(uploadDir, filename);
Files.setPosixFilePermissions(uploadedFile,
    PosixFilePermissions.fromString("rw-r-----"));

1
2
3
4
5
6
7
8

# 업로드 디렉터리에서 PHP 실행 비활성화
<Directory "/var/www/html/uploads">
    php_flag engine off
    <FilesMatch "\.php$">
        Order Allow,Deny
        Deny from all
    </FilesMatch>
</Directory>

1
2
3
4
5
6

location /uploads/ {
    # PHP 실행 비활성화
    location ~ \.php$ {
        deny all;
    }
}