공개인 줄 몰랐던 파일들

사이트를 만들고 업로드하면, 페이지 외에도 많은 것이 따라 올라갈 수 있습니다. 데이터베이스 백업, 설정 파일, 폴더 목록, 로그 파일이 공개 주소에 남을 수 있습니다.

아무도 그 파일로 연결하지 않으니 숨겨져 있다고 느껴집니다. 하지만 숨겨져 있지 않습니다. 공격자는 방문하는 모든 사이트에서 /backup.zip, /.env, /.git/ 같은 흔한 파일 이름을 시도합니다.

남겨진 것들

• 데이터베이스나 이메일 서비스의 비밀번호가 들어 있는 설정 파일.
• 데이터 전체 사본이 들어 있는 백업.
• 잊은 파일까지 포함해 폴더의 모든 파일을 보여 주는 폴더 목록.
• 사이트가 내부에서 어떻게 작동하는지 보여 주는 오류 및 디버그 페이지.
• 개발자가 변경 사항을 저장할 때 쓰는 도구에 남은 소스 코드 기록.

robots.txt와 사이트맵도 이런 파일을 가리킬 수 있습니다. 이 파일들은 검색 엔진에게 무엇을 건너뛰고 읽을지 알려 주며, 누구나 읽을 수 있습니다.

할 일

실제 사이트에서 파일을 삭제한 뒤, 그 안에 있던 것을 교체할 필요가 있는지 확인하세요. 유출된 비밀번호는 숨기는 것으로는 충분하지 않고 바꿔야 합니다. 업로드나 빌드 단계가 사이트 자체만 게시하는지 확인하고, 호스트에서 폴더 목록을 끄세요.

스캔은 흔한 파일 이름의 짧고 신중한 목록을 확인하며, 파일이 있는지 확인하는 데 필요한 것 이상은 절대 내려받지 않습니다.