php, asp, jsp 등의 인터프리터 파일에 관해...

Web Browser -> HTTP Server -> PHP, ASP, JSP 처리기
이런 식으로 처리가 되는 것으로 압니다.

Web Browser 에서 PHP나 ASP, JSP 요청이 들어오면 웹 서버는 '저는 이것을 잘 모르겠는데, 환경 설정에 보니 별도의 처리기가 담당한다고 하네요. 넘겨드리겠으니 알아서 처리하십시오' 하고 넘겨줍니다.

그러면 해당 처리기가 처리를 한 후 결과를 반환해주고 이를 사용자 웹 브라우저에서 보여주는 방식입니다.

PHP 모듈이나 서블릿 컨테이너가 내려가 있는 사이에 요청을 해도 웹 서버는 환경 설정에 기록된대로 충실히 처리기에 넘겨줍니다. 이때 처리기가 없으므로 결과에는 아무 변화가 없이 사용자 브라우저에 그대로 반환되기 때문에 소스가 보이는 것입니다.

플래쉬의 경우는 조금 다른데, 플래쉬는 사용자 브라우저에 다운받아져서 실행되는 것이고 PHP, ASP, JSP는 서버측 스크립트입니다. 따라서 해당 처리기에 문제가 생겨서 이상 작동한다거나, 소스가 노출되는 별도의 취약점이 있지 않은 이상은 원본 소스가 노출될 일이 없습니다.

물론 웹 서버로 요청을 할 때 해당 PHP가 PHP가 아닌 것으로 속일 수만 있다면 웹 서버가 그대로 소스를 반환해주겠지만, foo.php 를 php 가 아닌 것으로 속이기 위해 다른 확장자(foo.phpa)를 준다던지 하면 웹 서버의 입장에선 존재하지 않는 파일을 요청하는 것이므로, 404 Not found 에러가 나겠지요.

과거에 PHP, ASP, JSP 모두 특정한 특수문자열을 요청하면 해당 소스가 PHP, ASP, JSP 인줄 모르고 웹 서버가 그대로 반환하여 소스가 보이는 취약점이 여러 차례 문제로 발견되었습니다. 하지만 해당 공격 기법은 파서를 바꾸는 것은 아닌 듯...