웹 해킹 트렌드 보고서

보안 분야에서 유명한 Know Your Enemy 시리즈가 Know Your Enemy : Web Application Threats (이하 '이 보고서'로 지칭)를 내놓았습니다. 이 보고서는 2005년 말부터 2006 년 초까지 웹 하니팟을 운영하면서 알게 된 웹 해킹 동향에 대한 정보를 담고 있습니다.

이 보고서는 PHP XMLRPC 취약점, Mambo 취약점, AWStats 취약점, PHPBB 취약점, Zeroboard 취약점, PHPNuke 취약점 등을 공격이 빈번히 발생하는 취약점으로 언급하고 있습니다.

위에 언급되고 있는 취약점들 상당수는 제가 이미 블로그에서
 1. http://swbae.egloos.com/1220694 (AWStats 와 PHP XMLRPC)
 2. http://swbae.egloos.com/1221580 (Mambo)
 3. http://swbae.egloos.com/1222253 (PHPNuke, Coppermine 갤러리)
공격 로그를 보여드리면서 주의를 당부드린 바 있고, 제로보드 취약점에 대해서는 보안 권고문을 발표한 바 있습니다.

위의 취약점들이 주요 취약점으로 언급된 이유는 통계가 수집된 시기와 관련이 있다고 생각됩니다. 2005년 말부터 2006년 초 시기에는 웹 어플리케이션을 공격하는 자동화된 웜(Santy 웜 변종들)이 활발히 활동하던 시기입니다. 때문에 Santy 웜이 공격하는 주요 대상이 통계에 두드러지게 나타난 것이죠.

이 보고서는 웹 어플리케이션의 주요 공격 방법을
 1. Code Injection (명령어 삽입)
 2. Remote Code-Include (원격 코드 삽입) - PHP 의 include(), require() 함수 등을 공격
 3. SQL Injection (SQL 구문삽입)
 4. 크로스 사이트 스크립팅
으로 요약하면서, 웹 어플리케이션을 공격하는 Santy 웜, Elxbot 웜, Lupper 웜, Mare 웜에 대해 언급하고 있습니다.

또한 서구권의 웹 해커들이 즐겨 사용하는 PHPShell,  C99Shell 등을 화면과 함께 소개하면서, 웹 해킹 공격에 쓰이는 주요 전략들에 대한 설명, 점차 피싱, 봇넷과 연동되는 트렌드에 대한 설명을 하고 있습니다.

끝으로 이번 연구에 사용된 Google Hack Honeypot, PHP Honeypot 에 대해 간략히 소개하고 있는데요, 흥미롭게도 제로보드 취약점을 에뮬레이션 하는 기능을 예제로 들고 있네요.

보고서 말미의 부록으로는 다양한 웜이 사용하는 공격 기법과 공격 로그를 싣고 있고, 봇의 코드 일부를 예제로 보여주어 해커들의 공격 방식에 대한 이해를 돕고 있습니다.

배울 점이 매우 많은 자료이니 꼭 한번 원문을 살펴보시기 바랍니다.

이 보고서의 한계라고 하면, 공격 로그를 수집한 시기 때문에 최근 몇달 간 매우 공격이 활발했던 모 웜에 대한 내용이 빠져있다는 점, 서구권 보안 전문가의 경험을 토대로 작성되어 동양권 해커들의 웹 해킹 툴들이 빠져있다는 점이라고 봅니다. 다행히 모 웜의 경우 활동이 주춤해졌는데요, 이 웜에 대해서는 앞으로 시간이 나면 정리해드리도록 하겠습니다.