|
|
|
|
|
|
 |
공지사항
Loading...
|
|
8월3일 폐쇄 상황 반성문(보고서)
|
|
  게임코디
|
|
작성 : 2011-08-06 18:58:18 | 조회 : 2,747
|
|
|
|
|
|
|
|
8월 3일에 게임코디가 24시간 폐쇄되었던 이유,
그 상황에 대한 발견,수정 과정의 내용입니다.
어찌보면 굉장히 단순하고, 보안이 허술해서 ㅠㅠ 생긴 상황이므로..
그냥 재미삼아(?) 봐주시기 바랍니다. ;;
"허걱.. 이런것도 안해놨었어? .. "
라는 멘트를 날리셔도 할말이 없습니다. ㅠㅠ
머리말
다음 내용들은 어찌보면 게임코디의 보안이 허술하다는걸 알리는 내용입니다.
하지만 이를 숨기고 안전하다고 말만하기 보다는 ..
- 이를 알리고 실력 좋은 분들께 조언&구박을 들으며 발전하기 +
- 사이트를 운영하시는 분들께 조금이나마 도움이 되길 바라는 마음 입니다.
하지만 결론은 죄송합니다. ;; 으헝헝.. 입니다. ㅠㅠ
이번 공격 방법은 8~9개월 전에 제로보드4 보안포럼에 올라왔던 방법과 비슷한 공격법인데
당시 그 상황을 제가 너무 단편적으로만 보안처리를 해두어서 살짝 변경된 방법을 막지못해
생긴 상황이었습니다.
상황 1
8월 3일 새벽,
그런거없음님이 뭔가 위험 상황을 제보 해주셨습니다.
뭔가 냄새가 나셨답니다.
제 백신과 보안 툴은 (V3,사이트가드) 아무런 체크를 안하길래... "응..? 설마~" 하면서
글 중에 올려주셨던 도메인을 게임코디 페이지 소스보기로 검색을 해봤습니다.
허거덩....
정말 그 도메인이 IFRAME 으로 게임코디 페이지에 숨어있었습니다.
상황 2
일단 뭔지 정확히는 모르지만 더러웁고 찜찜한 녀석이 들어온건 확실하므로
일단 게임코디 전체를 폐쇄 했습니다.
제가 종종 사용하는 tistory 계정에 폐쇄 페이지를 올리고
게임코디의 모든 접속을 해당 페이지로 리다이렉션 시켰습니다.
상황 3
이제 과연 어떤 녀석인지 확인을 하기 찾아봤습니다.
사이트에 접속하면 플래시가 하나 뜹더군요.
그리고 아무런 반응도 없이 조용~ 합니다.
이 녀석은, 플래시 버그를 사용해서 해당 사용자의 컴퓨터에 악성코드를 넣어줍니다.
* 플래시를 최신버전으로 업데이트 하셔야 안전합니다.
사용자의 imm32.dll 외에 audio.sys 등 드라이버인냥 숨기거나 본래 시스템 파일들을
바꿔치기 해서 키보드 정보를 빼가고, 그 내역을 특정 웹사이트로 쏴준다고 합니다.
(imm32.dll 파일의 용량이 차이가 생기며, 파일 이름을 묘하게 바꾼 imm32.dll 백업 파일이 생겨납니다)
그래서 일단 제가 집에서 사용하는.. 데스크탑 치료부터 했습니다. ㅠㅠ ..
V3 Lite .. 미워요, 하나도 못막았어!
그런데~
8월3일에 안철수연구소에 해당 핵에대한 전용 백신이 공개 되었더군요,
그거랑 타 백신들을 사용해서 치료하고 혹시 모르니 윈도우 폴더가서 찜찜한
파일들을 직접 삭제,복구 했습니다.
플래시 버그로 개인정보를 빼가는 악성코드가 이리 퍼지는데 ..
왜 플래시는 아무도 문제삼지 않는거죠 ? ㅋㅋ
상황 4
이제 게임코디 서버 어디에 뭔짓을 해서 들어온건지 확인을 해야합니다.
몇 년 전에 한번 들어왔던건, URL에 SQL Injection 과 쉘스크립트를 사용해서 서버에 특정 php 파일을 만들고,
그 파일을 실행시키면 제로보드의 lib.php 파일에 IFRAME 코드를 삽입하는 방식으로 더러워 졌었습니다.
그래서 이번에도 그런 비슷할줄 알고, 서버에 새로 생긴 파일은 없는지, 최근에 변경된 파일은 없는지
살펴보았지만 전혀 변경된건 없었고.. 그렇다면 어떻게 웹페이지 HTML 에 코드를 넣은건지 고민을 하다가..
게임코디 DB 는 안전하게 잘 있는지 살펴보려고
관리자 페이지 (제로보드4) 에 가보니
꺄악~
여기에 귀엽게 살포시~ 내용을 넣어주셨어요,
다행히 다른 부분에는 변경,손상이 없었습니다. 감사..
상황 5
그럼 이제 저 코드가 어떤 경로를 통해서 들어왔는지 확인을 해야합니다.
- 이런 배포성 악성코드는 프로그램으로 돌리는 경우가 많고
- 특정 사이트에 타겟팅된 공격은 거의 아닙니다.
파일에 변조가 없었으니 FTP 는 아니고,
DB의 외부접근은 차단이 되어있는걸 뚫어서 올정도로 큰 사안은 아니므로..
웹로그 분석을 시작했습니다.
확실하게 하기 위해 최근 3일치 웹로그를 살펴보기로 했습니다.
이런게 400만줄이 넘는데.. "엄마!! 얘가 나 싫어해..!! "
결국 웹로그 분석기의 도움을 받기로 했습니다.
그것은 웹 로그 슈트
아파치 또는 IIS 등의 웹서버 로그를 넣으면 예쁘게 리포트를 작성해줍니다.
요렇게요...
근데 그래도 별로 눈에 잘 들어오진 않네요,
여기서 찾아야 할건 특이사항의 쿼리를 날리며 들어오는 접속을 찾아내야 합니다.
그래서 살펴봐야 할 부분은, Single Query 파트.
접속된 모든 URL 쿼리에서 인자별로 나눠서 정리,분류된 데이터 입니다.
허벌나게 많으므로 엑셀로 받아서 살펴봅시다.
그래도 많고 찾으려면 갑갑해요, 왜? 정렬이 안되었으니까~
뭔지 모르는 이상한 값을 찾아야 하므로, 결국 눈으로 찾아야 합니다.
인자별로 정렬을 하면 보기가 쉬워요~
상황 6
이건 너무나 평범한 공격
정말 대중적인 SQL Injection 공격 입니다.
이런건 무시...
특이한거 발견!
로그인 권한을 이렇게 쉽게 조작을 해버리더군요 ㅋㅋㅋ
( 해당 쿼리는 모자이크 처리 하였습니다. 공격에 활용될 소지가 있으므로.. )
문제의 접근 방식은 찾아냈으므로, 이제 위 쿼리를 언제 어디에 어떻게 사용했는지 찾아야 합니다.
상황 7
다시 웹로그로 돌아갑니다
오전 1시 16분,
위에서 발견된 쿼리문으로 검색을 해보니 관리자 페이지 변경 파일에 대한 접근을 확인 할 수 있었습니다.
오전 1시 17분, POST 로 실질적인 어택 ~
IP 는 중국쪽 이었고, 관리자 변경 php 에 접근하면서 URL 을 조작하여 권한을 획득하고
로그인이 된것처럼 해서 POST 메소드를 날려주시는 방법으로 해당 내용을 수정 해주셨었습니다.
현재 이와 비슷한 방식의 접근은 차단 하도록 수정 하였으며,
지금도 수시로 테스트를하며 차단 부분들 강화시키고 있습니다.
24 시간이나 걸린 이유
위 처리과정만 하면 사실 시간이 얼마 안걸립니다.
그런데 24시간 이나 걸렸던 이유는...
해당 악성코드에 대한 조사와
PHP 의 보안이슈 및 관련된 테스트 등
개인적인 생활.. (밥,똥,잠,허세) 등..
으로 인해 24시간이나 걸리게 되었습니다.
용서해주세요 ㅠㅠ
게임코디의 허접한 보안으로 인해
불편을 끼쳐드린점 정말 죄송합니다. ㅠㅠ
너그러운 마음으로,
실력없는 초짜를 가르치는 마음으로
용서해주시길 바라며....
조금씩 조금씩 수정,업데이트 하며 발전하는 게임코디가 되겠습니다.
* 게임코디님에 의해서 게시물 이동되었습니다 (2011-08-10 17:31) |
|
|
|
날자고도
|
|
|
|
- "게시판상단에 출력할내용"에 iFrame에 특정사이트로 접속하는 코드가 있었다. - 그특정사이트에서는 플래쉬의 버그를 이용, 파일을 pc에심고, 키로그를 쏴준다. - 로그분석결과 로그인이된것처럼 POST를 날려, 권한을 획득하였다.
|
2011-08-06
19:41:29
  |
|
|
|
|
|
|
|
게임코디 GAMECODI , 게임 프로그래머 만담 커뮤니티
게임코디 소개 |
크라우드펀딩 후원자 |
관리실 연락처 |
|
|
|
|
|
새로운 댓글
