JPG 파일로 PHP 시스템 공격 하기 - 동영상

한동안 PHP 의 remote include 취약점이 상당한 관심을 끌었습니다만 local include 취약점에 대해서는

"/etc/passwd 처럼 local 파일만 볼 수 있으니 별거 아니네..."

라는 견해가 주류였죠.

그러나 local include 취약점을 이용해서 직접적으로 서버가 침해를 당할 수도 있으니 주의하셔야 합니다. 비밀은 local include 파일 내에 PHP 코드를 삽입하는데 있습니다. 보통 html, php 등의 확장자를 업로드하지 못하도록 필터링하는 사이트라도 jpg, gif 파일은 업로드할 수 있도록 허용하고 있죠. 이때 jpg, gif 파일 내에 php 코드를 삽입해서 local include 취약점을 공격하면 Bingo~

이해하시기 어려운 분들을 위해 간략히 설명드리면
http://www.example.com/vulnerable.php?local_file=../../upload/attack.jpg
의 형태로  공격이 가능하다는 말씀입니다.

잘 이해가 안가더라도 걱정하지 마세요. 바야흐로 멀티미디어 시대인 만큼 1~2년전부터는 해킹에 대해 서도 PodCast 나 VideoCast 를 통해 대놓고 공개적으로 정보를 제공하기 시작했는데요, exploit archive 서비스를 제공하는 milw0rm 에 마침 local inclusion 취약점을 이용해 서버에서 임의의 명령어를 실행하는 기법이 동영상으로 공개되었습니다. 동영상에서는 단순히 deface 만 시도하고 있습니다만, 이 정도로 공격을 당하면 서버를 맘껏 요리할 수 있는 상황이죠.



PHP의 취약점은 php.ini 설정으로 어느 정도 커버가 되지만, 다년간의 경험으로 보면 A 라는 옵션은 B 라는 옵션의 설정을 무력화한다던지, 이러이러하게 짠 프로그램은 A 설정을 해야 안전하고, 저러저러하게 짠 프로그램은 A 설정을 안해야 안전하다던지 하는 복잡한 부분이 있어서 전문가가 아니면 php.ini 설정만으로 안전하게 만들기 어렵습니다.

결국 번거롭더라도 소스 레벨에서 include() 나 require() 계열 함수를 사용할 때 변수가 반드시 초기화 되어 사용되고, 사용자가 변경할 수 없는지 재차 확인하는 것이 근본적인 해결책이 되겠네요.