backup.sql 한 파일로 고객 DB가 통째로 빠져나간다: 웹루트 백업 파일 점검법 [2026]

웹루트 백업 파일 노출은 DB 덤프·압축 백업·고객 목록처럼 배포나 이전 작업 중에 만든 사본이 웹 루트에 남아, 주소만 알면 누구나 그대로 다운로드할 수 있는 상태를 말한다.
취약점을 파고드는 공격이 아니라 내가 올려둔 파일을 가져가는 일이다. 요청 한 번에 테이블 전체가 넘어가고, 흔적은 접근 로그의 200 응답 한 줄뿐이다.
이 글은 자주 발생하는 실수 패턴, 표준 구현 코드, 30초 자가진단, 24시간 패치 순서를 정리했다.

한눈에 보는 핵심

자주 발생하는 실수 패턴

표준 구현 코드

# nginx — 웹루트 백업 잔여물 차단.
# 아래는 완전한 설정이 아니라 기존 server 블록에 추가하는 발췌다.
# listen·root·location / 등 기본 지시자는 원래 블록의 값을 그대로 둔다.
# 사본을 웹루트에서 없애는 것이 1순위이고, 이 규칙은 사본이 남았을 때를 위한 2차 방어다.
server {
    server_name example.com;
    # (listen / root / location / ... 기존 설정 유지)

    # 1) 백업·덤프·DB 확장자 직접 접근 차단
    #    주의: .gz/.zip을 정적으로 서비스하는 사이트(app.js.gz 사전압축, 배포용 zip 다운로드)는
    #    해당 확장자를 목록에서 빼거나 location ^~ /backup/ 처럼 경로로 한정하라.
    location ~* \.(sql|sqlite|sqlite3|db|bak|old|save|orig|swp|dump|tar|gz|tgz|zip|7z|rar)$ {
        return 404;
    }

    # 2) 편집기가 남기는 물결표 파일 (config.php~)
    location ~ ~$ { return 404; }

    # 3) .git 노출은 소스 전체 복원으로 이어진다
    location ~ /\.(git|svn|hg|env) { return 404; }

    # 4) 목록 노출 금지 (nginx 기본값 off, Apache는 -Indexes)
    autoindex off;
}
# 근본 대책은 배포 산출물에 사본을 만들지 않는 것이고, 웹서버 차단 규칙은 보조 수단이다.

핵심은 "동작하는 코드"와 "안전한 코드"가 다르다는 점이다.
AI 코딩 도구는 기능 충족 코드를 우선 출력하므로 보안 분기는 별도로 강제해야 한다.
미들웨어·정책·CI 게이트로 모든 경로에 일괄 적용하는 것이 표준이다.

30초 자가진단

# [범위] 무료 스캔이 자동으로 보는 것은 대표 백업/덤프 고정 파일명(.sql·.zip·.tar.gz·.bak 계열),
# 디렉토리 리스팅, .git 노출까지다. SQLite DB 파일(db.sqlite3·database.db)과
# CSV/XLSX 명단, config.json.bak은 자동 점검 범위가 아니므로 아래 명령으로 직접 확인해야 한다.
H=https://example.com

# 1) 흔한 백업·DB·명단 파일이 200으로 내려오는가 (-r 0-0 = 첫 바이트만 요청, 대용량 전송 방지)
for p in backup.sql dump.sql db.sql db.sqlite3 database.db \
         backup.zip backup.tar.gz backup.bak users.csv \
         wp-config.php.bak config.json.bak .env.bak; do
  c=$(curl -s -o /dev/null -r 0-0 --max-time 15 -w '%{http_code}' "$H/$p")
  case "$c" in 200|206) echo "HIT -> /$p ($c)";; esac
done

# 2) 진짜 파일인지 확인 (soft 404는 <html, SQLite는 'SQLite format 3')
curl -s --max-time 15 -r 0-159 "$H/backup.sql" | head -c 160

# 3) 디렉토리 목록이 열려 있는가
for d in uploads files backup backups data db; do
  curl -s --max-time 15 "$H/$d/" | grep -qi 'index of' && echo "LISTING -> /$d/"
done

# 4) .git 노출 ('ref:'로 시작하면 저장소 전체 복원 가능)
curl -s --max-time 15 "$H/.git/HEAD" | head -c 40

위 시그널이 발견되면 결함이다. MITRE CWE-530 — 백업 파일의 무단 노출를 함께 참조하라.

24시간 패치 절차

지금 해야 할 것

실무자: CodeScan 무료 스캔으로 30초 점검 후 우선순위대로 패치.
CISO·임원: 조직 전체 점검·규제 대응은 SENTRIX 30분 1:1 상담으로.
결함은 발견 즉시, 늦어도 24시간 안에 패치하는 것이 표준이다.

관련 글

• .env 파일 노출: API 키와 DB 비밀번호가 통째로 새는 최악의 실수 [2026]
• 배포 후 5분 안에 해야 할 보안 체크리스트 8가지
• 경로 조작(Path Traversal)이란? ../ 몇 글자로 서버 파일을 읽는 공격 (2026)