¾ÆÅ Áö¿ª È£ÁÖ¡¤ÀϺ» µî ±ÝÀ¶ Çãºê°¡ ÃÖ´ë Ç¥Àû...PHP ±â¹ÝÀÇ À¥ ¼¹ö, LFI °ø°Ý¿¡ ƯÈ÷ Ãë¾à
[º¸¾È´º½º ÀÌ¼Ò¹Ì ±âÀÚ] ÃÖ±Ù ÀÎÅÍ³Ý º¸¾È¿¡ °æ°íµîÀÌ ÄÑÁ³´Ù. ´Ã »çÀ̹ö °ø°Ý¿¡ ³ëÃâµÈ ȯ°æÀ̶óÁö¸¸ Àü ¼¼°è¸¦ ÅëƲ¾î À¯µ¶ ¾ÆÅÂÁö¿ªÀÌ ±ÝÀ¶ ¼ºñ½º ºÎ¹®¿¡ ´ëÇÑ °ø°ÝÀ» ¸¹ÀÌ ¹Þ°í ÀÖ´Â °ÍÀ¸·Î ³ªÅ¸³µ´Ù.
[À̹ÌÁö=gettyimagesbank]
±Û·Î¹ú Ŭ¶ó¿ìµå ±â¾÷ ¾ÆÄ«¸¶ÀÌ(¾ÆÄ«¸¶ÀÌ ÄÚ¸®¾Æ ´ëÇ¥ ÀÌ°æÁØ)°¡ ¹ßÇ¥ÇÑ º¸°í¼¿¡ µû¸£¸é, ¾ÆÅÂÁö¿ªÀÇ ±ÝÀ¶ ¾÷°è¸¦ ³ë¸° °ø°ÝÀÌ Àü³â ´ëºñ 248%³ª ´Ã¾ú´Ù°í ¹àÇû´Ù. ÀÌ´Â Àü ¼¼°è »çÀ̹ö °ø°Ý Áõ°¡À²ÀÎ 169%¿¡ ºñÇØ ¿ùµîÈ÷ ³ôÀº ¼öÄ¡´Ù. ¹®Á¦´Â ´Ü¼øÈ÷ °ø°Ý·®¸¸ ´Ã¾î³ °ÍÀÌ ¾Æ´Ï¶ó °ø°ÝÀÚµéÀÇ °ø°Ý ±Ô¸ð, ºóµµ, Á¤±³ÇÔÀÇ Á¤µµ°¡ »ó´çÇÏ´Ù´Â Á¡ÀÌ´Ù. ¾ÆÅÂÁö¿ª¿¡¼ ¹ß»ýÇÑ À¥ ¾ÖÇø®ÄÉÀÌ¼Ç ¹× API °ø°Ý °Ç¼ö´Â Áö³ 2³â°£ ²ÙÁØÈ÷ Áõ°¡ÇØ ÇÏ·ç Æò±Õ ¾à õ¸¸ °ÇÀÌ ¹ß»ýÇÏ°í ÀÖ´Â ½ÇÁ¤ÀÌ´Ù. ¾ÆÄ«¸¶ÀÌÀÇ Á¶»ç °á°ú, ÇÏ·ç 6õ¸¸ °Ç ÀÌ»óÀÇ °ø°ÝÀÌ °¨ÁöµÈ ³¯µµ ÀÖ´Ù. ÀÌ´Â ¾ÆÅÂÁö¿ª ±â¾÷µéÀÌ ²Ï °µµ ³ôÀº ÁýÁß °ø°Ý¿¡ ³ëÃâµÈ »óȲÀÓÀ» ½Ã»çÇÑ´Ù.
¾ÆÄ«¸¶ÀÌ ¾ÆÅ¡¤ÀϺ» Áö¿ªÀÇ ·çº¥ ÄÚ(Reuben Koh) º¸¾È ±â¼ú Àü·« µð·ºÅÍ´Â ¡°¾ÆÅÂÁö¿ª¿¡¼ °ø°ÝÀÌ 250% °¡±îÀÌ ±ÞÁõÇÑ °ÍÀº ÇØ´ç Áö¿ªÀÇ ±ÝÀ¶ ¼ºñ½º ±â¾÷µéÀÌ µðÁöÅÐ Àüȯ°ú °í°´ Áß½ÉÀÇ µðÁöÅÐ Á¦Ç° ¹× ¼ºñ½º È®´ë¿¡ Áö¼ÓÀûÀ¸·Î ÅõÀÚÇÏ°í ÀÖ´Â °Í°ú °ü·ÃÀÌ ÀÖ´Ù¡±¸é¼, ¡°µðÁöÅÐÈ È®´ë¿Í ÀüüÀûÀÎ °ø°Ý Ç¥¸é È®ÀåÀ¸·Î °ø°ÝÀÚÀÇ »çÀ̹ö °ø°Ý ±âȸ ¿ª½Ã Áõ°¡ÇØ ±ÝÀ¶ ¼ºñ½º ±â¾÷µé¿¡°Ô Ä¡¸íÀûÀÎ ¿ì·Á »çÇס±À̶ó°í ¼³¸íÇß´Ù.
°¡Àå ÀϹÝÀûÀÎ °ø°Ý ¼ö¹ýÀº ·ÎÄà ÆÄÀÏ ÀÎŬ·çÀü(Local File Inclusion, ÀÌÇÏ LFI) °ø°ÝÀ¸·Î Àü³â ´ëºñ 154% Áõ°¡Çß´Ù. LFI °ø°ÝÀº ¾ÈÀüÇÏÁö ¾ÊÀº ÄÚµù °üÇàÀ̳ª À¥ ¼¹öÀÇ ½ÇÁ¦ Ãë¾àÁ¡À» ¾Ç¿ëÇØ Äڵ带 ¿ø°Ý ½ÇÇàÇϰųª ·ÎÄÿ¡ ÀúÀåµÈ ¹Î°¨ Á¤º¸¿¡ Á¢±ÙÇÏ´Â °ø°Ý ¹æ½ÄÀÌ´Ù. ƯÈ÷, PHP ±â¹ÝÀÇ À¥ ¼¹ö´Â ÀÔ·Â ÇÊÅ͸¦ ¿ìȸÇÏ´Â ¹æ¹ýÀÌ Á¸ÀçÇØ LFI °ø°Ý¿¡ ƯÈ÷ Ãë¾àÇÏ´Ù. ½ÉÁö¾î ÆäÀ̽ººÏ, ¿öµåÇÁ·¹½º, À§Å°Çǵð¾Æ °°Àº ´ëºÎºÐÀÇ À¯¸í À¥»çÀÌÆ®µµ PHP·Î ¿î¿µµÇ°í ÀÖ´Ù.
[·Î°í=¾ÆÄ«¸¶ÀÌ]
Ä¿¸Ó½º »ê¾÷±º °ø°Ý·üÀº Àεµ(90%)°¡ °¡Àå ³ô¾Ò´Ù. ÀÌ´Â ¿Â¶óÀÎ ¼Ò¸Å¾÷ü È°¼ºÈ¿Í ÀüÀÚ»ó°Å·¡ ÁöÃâÀÌ Áõ°¡ÇÏ¸é¼ °ø°ÝÀÚµéÀÌ ¼öÀͼºÀÌ ³ô´Ù°í ÆÇ´ÜÇÑ °ÍÀ¸·Î º¸ÀδÙ. ÀεµÀÇ ±ÝÀ¶ ¾÷°è °ø°Ý ¿ª½Ã ²ÙÁØÈ÷ Áõ°¡ÇÏ°í ÀÖ´Â Ãß¼¼´Ù.
°á±¹ °ø°ÝÀÚµéÀº ÇØ´ç ±¹°¡ÀÇ Æ¯Á¤ ¾÷Á¾ ¹× ±â°üÀ» Ç¥ÀûÀ¸·Î Á¤ÇÏ°í Àû±ØÀûÀÎ °ø°ÝÀ» °¡ÇÏ°í ÀÖ´Ù´Â °ÍÀ» º¸¿©ÁØ´Ù. ¾ÆÅÂÁö¿ª LFI °ø°Ý Áõ°¡¼¼·Î ºñÃ纼 ¶§, °ø°ÝÀÚµéÀÌ ÅõÀÚ ´ëºñ ÃÖ´ë ¼öÀÍÀ» À§ÇØ ¼ÒºñÀÚ Çൿ ÆÐÅÏÀ» ÆľÇÇÏ°í Áö¼ÓÀûÀ¸·Î °ø°Ý ±â¼úÀ» ¹ßÀü½ÃÅ°°í ÀÖ´ÂÁö ¾Ë ¼ö ÀÖ´Â °á°ú´Ù.
·çº¥ ÄÚ º¸¾È ±â¼ú Àü·« µð·ºÅÍ´Â ¡°»çÀ̹ö ¹üÁËÀÚµéÀº À¥ ¾ÖÇø®ÄÉÀ̼ǰú API¸¦ Áö¼ÓÀûÀ¸·Î ¾Ç¿ëÇÏ°í ÀÖÀ¸¸ç, ÅõÀÚ ´ëºñ ÃÖ´ë ¼öÀÍÀ» ¾ò±â À§ÇØ °è¼ÓÇؼ »õ·Î¿î °ø°Ý ±â¹ýÀ» È°¿ëÇÒ °Í¡±À̶ó¸ç, ¡°¾ÆÅÂÁö¿ªÀÇ ±ÝÀ¶, Á¦Á¶ ¹× Ä¿¸Ó½º ¾÷°è´Â µðÁöÅÐ Çõ½ÅÀÇ Á᫐ ºÐ¾ß·Î °ø°ÝÀڵ鿡°Ô´Â ¸Å¿ì ¼öÀͼº ³ôÀº Ç¥ÀûÀÌ µÈ´Ù¡±°í ¸»Çß´Ù.
ÀÌ¾î ¡°¼¹ö Ãø ¿äû Á¶ÀÛ(SSRF), ¼¹ö Ãø ÅÛÇø´ ÀÎÁ§¼Ç(SSTI), ¼¹ö Ãø ÄÚµå ÀÎÁ§¼Ç µîÀÇ »õ·Î¿î °ø°Ý º¤ÅÍ°¡ µîÀåÇϸé¼, À§Çù ȯ°æÀÌ ¿ø°Ý ÄÚµå ½ÇÇàÀ» Áß½ÉÀ¸·Î ÀüȯµÇ°í ÀÖ´Ù. °¡Â÷ ¾ø´Â °ø°Ý ½Ãµµ¿¡ °è¼ÓÇؼ ³ëÃâµÇ°í ÀÖ´Â Á¶Á÷µéÀº ÃֽŠ°ø°Ý Æ®·»µå¿Í ¸ð¹ü »ç·Ê¸¦ Áö¼ÓÀûÀ¸·Î ¾÷µ¥ÀÌÆ®ÇØ ±×¿¡ ¸Â´Â ´ëÀÀ Àü·«À» Àû¿ëÇØ¾ß ÇÑ´Ù¡±°í °Á¶Çß´Ù.
[ÀÌ¼Ò¹Ì ±âÀÚ(boan4@boannews.com)]
<ÀúÀÛ±ÇÀÚ: º¸¾È´º½º(www.boannews.com) ¹«´ÜÀüÀç-Àç¹èÆ÷±ÝÁö>