º¸¾È´º½º â°£ 17ÁÖ³âÀ» ÃàÇÏÇÕ´Ï´Ù!!

Home > Àüü±â»ç

Æı«·Â ³ôÀº ¹é¿£µå Á¢±Ù ±â¼ú ¡®h2c ½º¸Ó±Û¸µ¡¯, »õ·Ó°Ô ¹ß°ßµÅ

ÀÔ·Â : 2020-09-17 17:50
ÆäÀ̽ººÏ º¸³»±â Æ®À§ÅÍ º¸³»±â ³×À̹ö ¹êµå º¸³»±â Ä«Ä«¿À ½ºÅ丮 º¸³»±â ³×À̹ö ºí·Î±× º¸³»±â
2005³âºÎÅÍ ¿¬±¸µÇ¾î ¿Â HTTP ¿äû ½º¸Ó±Û¸µ °ø°Ý ±â¹ýÀÇ Çö´ëÆÇ
¾÷±×·¹À̵å Çì´õ ÅëÇØ ¹é¿£µå¿¡ Á¢±ÙÇÏ´Â °Í °¡´É...¹«±Ã¹«ÁøÇÑ °ø°Ý ÀáÀç·Â


[º¸¾È´º½º ¹®°¡¿ë ±âÀÚ] »õ·Î¿î À¯ÇüÀÇ ÇØÅ· °ø°Ý ±â¹ýÀÌ ¹ß°ßµÆ´Ù. À̸¦ ¹ß°ßÇØ º¸°í¼­¸¦ ¹ßÇ¥ÇÑ º¸¾È ¾÷ü ºñ¼ó Æø½º(Bishop Fox)ÀÇ Á¦ÀÌÅ© ¹Ð·¯(Jake Miller)´Â ¡°´ë´ÜÈ÷ Æı«ÀûÀÎ °ø°Ý¡±À̶ó°í ¹¦»çÇÑ´Ù. ±×¸®°í ÀÌ °ø°Ý ±â¹ý¿¡ ¡®h2c ½º¸Ó±Û¸µ(h2c smuggling)¡¯À̶ó´Â À̸§À» ºÙ¿´´Ù.

[À̹ÌÁö = utoimage]


¹Ð·¯ÀÇ ¼³¸í¿¡ ÀÇÇÏ¸é ¡®h2c ½º¸Ó±Û¸µ¡¯Àº ¡°HTTP ¿äûÀ» ¡®¹Ð¼ö¡¯ÇÒ ¼ö ÀÖ°Ô ÇØÁÖ´Â °ø°Ý¡±ÀÌ´Ù. ¡°h2c´Â HTTP/2°¡ HTTP/1.1 Upgrade Çì´õ¸¦ ÅëÇØ ¹ßµ¿µÉ ¶§ ¼º¸³µÇ´Â ÇÁ·ÎÅäÄÝÀ» °¡¸®Åµ´Ï´Ù. Æò¹®À¸·Î Åë½ÅÀ» ÇѴٴ Ư¡À» °¡Áö°í ÀÖÁÒ. °ø°ÝÀÚ°¡ h2c¸¦ »ç¿ëÇØ Áß°£ ¼­¹ö(ȤÀº ÇÁ·Ï½Ã ¼­¹ö)·Î ¿äûÀ» º¸³»¸é ¼­¹ö Á¢±Ù Á¦¾î ÀåÄ¡µéÀ» ÇÇÇØ°¥ ¼ö ÀÖ°Ô µË´Ï´Ù. ¿©±â±îÁö ¼º°øÇÑ °ø°ÝÀÚ´Â ³»ºÎ Çì´õµéÀ» ¸¶À½´ë·Î Á¶ÀÛÇϰųª, ³»ºÎ ³×Æ®¿öÅ©ÀÇ ¿£µåÆ÷ÀÎÆ®µé¿¡ Á¢±ÙÇÒ ¼ö ÀÖ½À´Ï´Ù.¡±

ºñ¼ó Æø½º´Â h2c ½º¸Ó±Û¸µ °ø°ÝÀÇ À§Ç輺¿¡ ³ëÃâµÈ Á¶Á÷µéÀÌ ²Ï³ª ¸¹Àº ¼öÁØÀ̶ó°í ÁÖÀåÇß´Ù. ¡°ÀúÈñÀÇ °í°´»çµé¸¸ º¸´õ¶óµµ ´Ù¾çÇÑ »ê¾÷¿¡¼­ ÀÌ °ø°ÝÀÇ À§Ç輺ÀÌ ¹ß°ßµÆ½À´Ï´Ù. Á¶Á÷ÀÇ Å©±â´Â ÀüÇô »ó°üÀÌ ¾ø°í¿ä. Áï º¸ÆíÀûÀ̸鼭 ¸¸¿¬ÇÑ À§ÇèÀ̶ó´Â ¶æÀÔ´Ï´Ù.¡± ½ÇÁ¦ ±â¼úÀûÀÎ °üÁ¡¿¡¼­ º¸´õ¶óµµ h2c ½º¸Ó±Û¸µ °ø°ÝÀÇ À§Ç輺Àº ¸ðµç Á¾·ùÀÇ ÇÁ·Ï½Ã ¼­¹ö¿¡ ÀáÀçµÇ¾î ÀÖ´Ù°í ÇÑ´Ù.

¡°HTTP ¿äûµéÀ» Á¡°ËÇÏ´Â µ¥¿¡ ÀÖ¾î ÇÁ·Ï½Ã ÀÇÁ¸µµ°¡ ³ôÀº ¾ÖÇø®ÄÉÀ̼ÇÀ» »ç¿ëÇÏ°í ÀÖ´Ù¸é, ÀÓÀÇÀÇ ¾÷±×·¹À̵å(HTTP/1.1 Upgrade) Çì´õµéÀ» Æ÷¿öµù ÇÏÁö ¾Êµµ·Ï ¼³Á¤ÇØ¾ß ÇÕ´Ï´Ù. ÀÓÀÇÀÇ ¾÷±×·¹À̵å Çì´õ°¡ Æ÷¿öµù µÈ´Ù¸é, °ø°ÝÀÚ°¡ À̸¦ ¡®¹Ð¼ö¡¯ÇØ ÀڽŵéÀÇ °ÍÀ¸·Î ¸¸µé ¼ö ÀÖ½À´Ï´Ù. ¹Î°¨ÇÑ ¿£µåÆ÷ÀÎÆ®·ÎÀÇ Á¢±ÙÀ» ¸·±â À§ÇØ ÇÁ·Ï½Ã¸¦ È°¿ëÇϰųª ³»ºÎ Çì´õÀÇ È°¿ëÀ» ±ÝÁö½ÃÅ°´Â Á¶Á÷µéµµ ÇöÁ¸ º¸¾È ÀåÄ¡¿Í ¼³Á¤À» ÀÖ´Â ±×´ë·Î ¹Ï¾î¼­´Â ¾È µË´Ï´Ù.¡±

¹Ð·¯¿¡ ÀÇÇÏ¸é ¡°h2c ½º¸Ó±Û¸µ °ø°ÝÀº ÇöÀç±îÁö ÇÑ ¹øµµ ¾ð±ÞµÇ°Å³ª ¹ß°ßµÈ Àû ¾ø´Â ±â¹ý¡±À̶ó°í ÇÑ´Ù. µû¶ó¼­ ½ÇÁ¦ ÇØÄ¿µéÀÌ ÀÌ¹Ì È°¿ëÇÏ°í ÀÖ´ÂÁö ¾Æ´ÑÁö È®ÀÎÇÒ ¹æ¹ýÀÌ ¾ÆÁ÷Àº ¾ø´Ù´Â °ÍÀÌ´Ù. ´Ù¸¸ HTTP ¿äû ½º¸Ó±Û¸µ(HTTP request smuggling)À̶ó´Â ±â¹ý ÀÚü´Â ¿¹ÀüºÎÅÍ ¿¬±¸µÇ¾î ¿Ô´Ù. h2c ½º¸Ó±Û¸µÀº HTTP ¿äû ½º¸Ó±Û¸µÀÇ ÃֽŠ¹öÀü Áß Çϳª¶ó°í º¼ ¼ö ÀÖ´Ù.

ÀüÅëÀû °³³äÀÇ HTTP ¿äû ½º¸Ó±Û¸µÀº 2005³â óÀ½ µîÀåÇß´Ù. HTTP ¿äûÀ» Á¶ÀÛÇÏ´Â °ø°Ý ¹æ¹ýÀ» ¾Æ¿ì¸£´Â ¿ë¾î·Î, ±× µ¿¾È ¸Þ½ÃÁö ó¸® ºñµ¿±âÈ­, ¸®¹ö½º ÇÁ·Ï½ÃÀÇ ³²¿ë, ÇÁ·Ï½Ã-ÇÁ·Ï½Ã ±¸Á¶ÀÇ ³²¿ë µîÀÇ ±â¹ýÀÌ ¹ß°ßµÇ¾î ¿Ô´Ù. ¿©±â¿¡ h2c¸¦ ½º¸Ó±Û¸µÇÏ´Â ¹æ¹ýÀÌ Ãß°¡µÈ °ÍÀÌ´Ù.

h2c °ø°ÝÀ» ½ÇÇàÇÏ·Á¸é µÎ °¡Áö ÀüÁ¦ Á¶°ÇÀÌ ¸¶·ÃµÇ¾î¾ß ÇÑ´Ù. ¼³Á¤ ¿À·ù¿Í h2c ¾÷±×·¹À̵带 Áö¿øÇÏ´Â ¹é¿£µå´Ù. ÇÏÁö¸¸ ¹Ð·¯¿¡ ÀÇÇÏ¸é »ó´ç¼öÀÇ ÇÁ·Ï½Ã ¼­ºñ½º°¡ µðÆúÆ® ¼³Á¤À» ÅëÇØ h2c Çì´õµéÀ» Àü´ÞÇϵµ·Ï ¸¸µé¾îÁ® ÀÖ´Ù°í ÇÑ´Ù. Áï µðÆúÆ® ¼³Á¤ ±×´ë·Î ³öµÎ¸é À§ÇèÇÒ ¼ö ÀÖ´Ù´Â °ÍÀÌ´Ù.

ºñ¼ó Æø½º ÃøÀº ÀÌ °ø°Ý ±â¹ýÀ» º¸´Ù »ó¼¼È÷ ¼³¸íÇϱâ À§ÇØ µµ±¸¿Í µ¥¸ð¸¦ ±êÇãºê¿¡ ¸¶·ÃÇϱ⵵ Çß´Ù. ÀÌ´Â ¿©±â(https://github.com/BishopFox/h2csmuggler)¼­ ¿­¶÷ÀÌ °¡´ÉÇÏ´Ù. ¡°°á±¹ h2c ½º¸Ó±Û¸µÀº Çö´ëÀÇ À¥ ¾ÖÇø®ÄÉÀÌ¼Ç ¾ÆÅ°ÅØó°¡ °¡Áø ±¸Á¶Àû Ãë¾àÁ¡À» µå·¯³À´Ï´Ù. ¹Ù·Î º¸¾ÈÀ» ¿¡Áö ¼­¹ö Á¢±Ù Á¦¾î ÀåÄ¡µé¿¡ Áö³ªÄ¡°Ô ¸Ã±â°í ÀÖ´Ù´Â °ÍÀÌÁÒ.¡±

ÇÏÁö¸¸ °ø°ÝÀ» ½ÇÇà½ÃÅ°´Â °Ô ½¬¿î ÀÏÀº ¾Æ´Ï¶ó°í º¸¾È ¾÷ü Æ÷Æ®½ºÀ§°Å(PortSwigger)ÀÇ Á¦ÀÓ½º ÄÉƲ(James Kettle)Àº ¼³¸íÇÑ´Ù. ±×·¯¸é¼­ ±×´Â ÀÌ ±â¼ú¿¡ ´ëÇØ ´ÙÀ½°ú °°ÀÌ ¼³¸íÇÑ´Ù. ¡°h2c ½º¸Ó±Û¸µÀº °á±¹ °ø°ÝÀÚ°¡ ¹é¿£µå ¼­¹ö¿¡ °ðÀå µµ´ÞÇÒ ¼ö ÀÖ°Ô ÇØÁÖ´Â °ÍÀÔ´Ï´Ù. Áï ¾î¶² »ç¿ëÀÚ³ª ¾î¶² À¥»çÀÌÆ®¿¡µµ µµ´ÞÇÒ ¼ö ÀÖ°Ô ÇØÁÖ´Â ÀáÀç·ÂÀ» °¡Áö°í ÀÖ´Ù´Â °Ì´Ï´Ù. ¿©Å±îÁö ¾Æ¹«µµ ÀÌ °ø°Ý ±â¹ýÀ» È°¿ëÇÏÁö ¾Ê¾Ò´Ù°í ÇÏ´õ¶óµµ, ÃæºÐÈ÷ ¿¬±¸ÇØ ½ÇÇàÇغ½Á÷ ÇÕ´Ï´Ù. »çÀ̹ö ¹üÁËÀÚµéÀº ´Ã ±×·¡¿Ô°í¿ä.¡±

3ÁÙ ¿ä¾à
1. 2005³âºÎÅÍ ¿¬±¸µÇ¾î ¿Â HTTP ¿äû ½º¸Ó±Û¸µ °ø°Ý ±â¹ýÀÇ ÃֽŠ¹öÀü µîÀå.
2. h2c¸¦ ÅëÇØ ¾÷±×·¹À̵å Çì´õ¸¦ Á¶ÀÛÇÔÀ¸·Î½á °ø°ÝÀÚ°¡ ¹é¿£µå¿¡ ħÅõÇÒ ¼ö ÀÖ°Ô ÇØÁÖ´Â °ø°Ý ±â¹ý.
3. ½ÇÇàÀÌ ½¬¿î °Ç ¾Æ´ÏÁö¸¸, ¹é¿£µå¿¡ µµ´ÞÇÒ ¼ö ÀÖ´Ù´Â ÀåÁ¡ÀÌ ³Ê¹« Ä¿ °ø°ÝÀÚµéÀÌ ¿¬±¸ÇÒ °¡´É¼º ³ôÀ½.

[±¹Á¦ºÎ ¹®°¡¿ë ±âÀÚ(globoan@boannews.com)]

<ÀúÀÛ±ÇÀÚ: º¸¾È´º½º(www.boannews.com) ¹«´ÜÀüÀç-Àç¹èÆ÷±ÝÁö>

  •  
  • 0
  • ÆäÀ̽ººÏ º¸³»±â Æ®À§ÅÍ º¸³»±â ³×À̹ö ¹êµå º¸³»±â Ä«Ä«¿À ½ºÅ丮 º¸³»±â ³×À̹ö ºí·Î±× º¸³»±â

  • ¡°
  •  SNS¿¡¼­µµ º¸¾È´º½º¸¦ ¹Þ¾Æº¸¼¼¿ä!! 
  • ¡±
 ÇÏÀÌÁ¨ ÆÄ¿öºñÁî 23³â 11¿ù 16ÀÏ~2024³â 11¿ù 15ÀϱîÁö ¾Æ½ºÆ®·Ð½ÃÅ¥¸®Æ¼ ÆÄ¿öºñÁî 2023³â2¿ù23ÀÏ ½ÃÀÛ À§Áîµð¿£¿¡½º 2018 ³Ý¾Øµå ÆÄ¿öºñÁî ÁøÇà 2020³â1¿ù8ÀÏ ½ÃÀÛ~2021³â 1¿ù8ÀϱîÁö
¼³¹®Á¶»ç
<º¸¾È´º½º>ÀÇ º¸¾ÈÀü¹® ±âÀÚµéÀÌ ¼±Á¤ÇÑ 2024³â ÁÖ¿ä º¸¾È Å°¿öµå °¡¿îµ¥ °¡Àå Æı޷ÂÀÌ Å¬ °ÍÀ¸·Î º¸´Â À̽´´Â?
Á¡Á¡ ´õ Áö´ÉÈ­µÇ´Â AI º¸¾È À§Çù
¼±°ÅÀÇ ÇØ ¸ÂÀº ÇÙƼºñÁò °ø°Ý
´õ¿í °­·ÂÇØÁø ·£¼¶¿þ¾î »ýÅ°è
Á¡Á¡ ´õ ´Ù¾çÇØÁö´Â ½ÅÁ¾ ÇÇ½Ì °ø°Ý
»çȸ±â¹Ý½Ã¼³ °ø°Ý°ú OT º¸¾È À§Çù
´õ¿í ½ÉÇØÁö´Â º¸¾ÈÀη ºÎÁ· ¹®Á¦
Á¦·ÎÆ®·¯½ºÆ®¿Í °ø±Þ¸Á º¸¾È
°¡¼ÓÈ­µÇ´Â Ŭ¶ó¿ìµå·ÎÀÇ Àüȯ°ú ÀÌ¿¡ µû¸¥ º¸¾ÈÀ§Çù
¸ð¹ÙÀÏ È°¿ëÇÑ º¸ÀÎÀÎÁõ È°¼ºÈ­¿Í ÀÎÁõº¸¾È À̽´
AI CCTVÀÇ ¿ªÇÒ È®´ë