🤔 Path Traversal과 $20,000 GitLab 취약점

2021. 9. 7.

웹에서 보기

지난 뉴스레터 보기

해킹 알려줄게

6화: Path Traversal

누군가가 우리 집을 마음대로 돌아다닐 수 있다면 어떨까요? 마구 헤집어놓아 엉망이 될 수도 있고, 귀중품이 없어질 수도 있고 정말 운이 나쁘면 폭탄을 두고 갈지도 모르는 일이죠 😢

이번 주에 알아볼 취약점은 바로 Logical Bug인 Path Traversal로, Directory Traversal이라고도 불리는 웹 취약점이에요! 우리 웹 취약점은 처음이네요 🙂

Path Traversal 이전에.. Logical Bug는 뭔데요? 😖

Stack Buffer Overflow를 공부할 때 할당된 크기의 버퍼보다 큰 데이터를 입력해 메모리의 다른 영역을 침범해 오염시킬 수 있던 것을 기억하시나요? 🥺

이처럼 메모리를 오염시키는 취약점 종류를 Memory Corruption 취약점이라고 해요.

반면에 Logical Bug는 메모리 조작 없이 프로그램의 논리적인 흐름에 대한 오류를 이용합니다. 간단한 예시로 살펴볼게요.

Logical_bug.c 코드는 사용할 쿠폰의 개수를 입력해 결제 금액을 discount() 함수를 통해 입력한 쿠폰 수만큼 10,000원씩 할인한 금액을 출력하고 있네요. 결제 금액은 50,000원이고, 쿠폰은 3장을 가지고 있어요.

어떤 문제가 발생할 수 있을까요? 🤔

가장 큰 문제점은 현재 3장의 쿠폰을 가지고 있으면서 '나 쿠폰 10장 쓸래!!' 라고 하면 막을 수가 없는 거에요.😱 coupon_to_use에 10을 입력하면 결과적으로 최종 결제 금액이 오히려 -50000가 되네요.

Logical Bug가 뭔지 감을 잡으셨나요? 😉

파일의 경로는 어떻게 나타낼 수 있나요?

Path Traversal에 대해 자세히 설명하기 전에 여기서 말하는 Path인 경로에 대해서 잠깐 얘기해요!

파일의 경로는 절대경로와 상대경로로 나타낼 수 있습니다.

절대경로는 말 그대로 절대적인 위치!! 파일의 고유한 경로이며, 최상위 디렉토리에서부터 해당 파일까지 거친 경로를 모두 표기하는 방식이에요. C:\\Program Files (x86)\\Kakao\\KakaoTalk 처럼 절대경로를 나타낼 수 있답니다.

상대경로는 현재 위치한 곳을 기준으로 원하는 파일의 위치를 나타낸 거에요. 현재 C:\\Program Files (x86)\\Microsoft\\Edge에 있다면 KakaoTalk 파일까지의 경로는 현재 위치의 상단 폴더를 의미하는 ../를 사용해서 ../../Kakao/kakaoTalk으로 나타낼 수 있겠네요! 참고로 최상위 디렉토리는 /, 현재 디렉토리는 ./로 나타낼 수 있습니다.

실생활에서 예시를 들어볼게요. 🙂 우리가 롯데월드의 위치를 말할 때 "롯데월드는 대한민국 서울시 송파구 잠실동 올림픽로 240에 있어!"라고 말한 것이 절대경로, "롯데월드는 여기서 2호선 타고 잠실역에 내려서 4번 출구로 나가면 있어"라고 말한 것이 상대경로입니다.

이제 Path가 무엇인지 알았으니 본격적으로 Path Traversal에 대해 알아보겠습니다!

그럼 이제 Path Traversal 설명해주세요!

드디어 취약점을 설명할 차례네요!

Path Traversal 취약점은 파일의 경로를 조작하여, 응용 프로그램의 서버 내의 임의의 파일을 읽고, 쓸 수 있는 arbitary file read, arbitary file write가 발생할 수 있어요. 심지어는 데이터 또는 동작을 수정하고 서버를 완전히 제어 할 수 있답니다. 😱

이미지를 보여주는 웹 사이트를 생각해볼까요?

이미지는 <img src = "/loadImage?filename=hackyboiz.png"> 같은 html 코드로 올라갈 거에요. 그리고 이미지 자체는 /var/www/images 에 저장되어 있습니다. 따라서 요청된 파일 이름을 뒤에 추가한 /var/www/images/hackyboiz.png 에서 이미지를 가져와 볼 수 있어요.

만약 https://pathtraversal.com/loadImage?filename=../../../etc/passwd라고 요청을 하면 /var/www/images/../../../etc/passwd을 읽을거에요. 여기서 ../는 현재 위치의 상단 폴더를 의미하므로 결국 /var/www/images/../../../로 루트 디렉토리까지 올라가고 /etc/passwd를 읽어버리는 거죠. 😱

정말로 passwd파일까지 읽을 수 있을까요?? 진짜로?

믿기 힘들까 봐 작년에 제보된 GitLab Path Traversal 취약점(CVE-2020-10977)을 간단히 소개해줄게요. 😉

GitLab에서 이슈를 생성할 때는 마크다운을 이용해서 ![file_name](./file_path) 형식으로 파일에 대한 링크를 삽입할 수 있어요. 하지만 파일 이름의 유효성을 검사하지 않아 이슈를 새 프로젝트로 이동할 때 디렉토리 탐색을 통해 임의의 파일을 복사 할 수 있는 취약점이 발견되었답니다.

이게 문제의 코드였는데요, 다 이해 못 해도 괜찮아요!👌🏻 find_file() 함수에서 무슨 파일을 찾는지에 대한 제한과 필터링이 없으므로 Path Traversal을 사용하여 모든 파일을 복사 할 수 있었다는 것만 이해하면 됩니다.

해당 취약점의 제보자는 ![a](/uploads/11111111111111111111111111111111/../../../../../../../../../../../../../etc/passwd) 로 이슈를 만들어 passwd 파일을 다운로드하는데 성공했답니다.

간단해 보이나요? 🤨 하지만 이 제보는 $20,000이나 받았답니다. 💸 💸 공격을 동영상으로 직접 보고 싶으면 영상을 참고해주세요!

이 취약점으로 GitLab은 다음과 같이 GitLab::Utils.check_path_traversal 으로 검사하는 과정을 추가함으로써 패치했습니다.

어떻게 Path Traversal을 검사해야 할까요?

역시 가장 좋은 방법은 사용자의 입력이 파일 시스템 API로 전송되지 않게 하는 거죠. 하지만 꼭 전송되야 한다면 어떻게 해야 할까요?

간단히 ../를 필터링하거나 .png, .txt 등 확장자가 꼭 붙어야 된다는 조건으로 Path Traversal을 피할 수 있을까요?

아쉽게도 ../는 여러 인코딩 방식을 사용해 필터링을 우회할 수 있습니다. ..%252f, ..%c0%af식으로요. 그리고 .png가 꼭 붙어야 한다면 filename=../../../etc/passwd%00.png처럼 Null byte인 %00을 포함할 수 있겠네요.

그럼 이렇게 Path Traversal을 막아봐요!

첫 번째로 사용자의 입력을 처리하기 전에 꼭 검증을 해야 합니다. 허용된 값만 받는 화이트리스트와 비교하면 좋고, 아니라면 영문자와 숫자만 허용해요.

두 번째는 제공된 입력을 검증한 뒤, 입력을 기본 디렉토리에 추가하고 파일 시스템의 API를 사용하여 경로를 정규화해야 합니다.

이번 주의 해킹 가르쳐줄게는 여기까지! 😀

by y00n_nms

오늘 전해드린 내용이 마음에 드셨나요?

주위 친구들에게 뉴스레터를 추천해주세요!

다음주에도 알찬 내용으로 돌아오겠습니다. 😙