안녕하세요! 오늘의 해킹 알려줄게는 File Upload 취약점입니다. 🤓

보통 프로필 사진 등록 기능에서는 이미지 파일(png, jpeg, tiff 등)을 첨부하고, 과제를 제출할 때는 문서 파일(doc, hwp, pdf, ppt, txt 등)을 첨부할 것으로 생각합니다.

'이미지를 첨부하는 곳이니 누가 다른 걸 등록하겠어?' 라고 생각하고 확장자 필터링이 제대로 이루어지지 않아 예상하지 못한 확장자가 업로드될 때 File Upload 취약점이 발생하게 됩니다. 😓

바로 asp, php, jsp 등의 확장자로 만들어진 웹쉘(Web Shell)을 업로드할 수 있기 때문입니다. 🐚

때문에 웹쉘 업로드 공격이라고 불리기도 해요.

웹쉘(Web Shell), 매우 익숙하지 않나요? 시스템 해킹을 공부하신 분은 '쉘 땄다~!' 가 사용자의 명령을 받아 처리하는 쉘의 권한을 탈취한 것으로, 해커가 사용자 컴퓨터에 명령어 입력을 할 수 있다는 것을 알고 있을 거예요. 자, 그럼 웹쉘과 쉘은 느낌상 비슷한 말일 것 같은데... 🤔

웹쉘은 해커가 대상 웹서버에 명령을 수행할 수 있도록 만들어진 웹 스크립트 파일입니다.

바로 이 웹쉘을 업로드한 뒤에 실행할 수 있는 방법을 찾는다면, 시스템 전체를 손상시키거나 시스템 명령 제어 권한을 탈취하는 등의 행동을 할 수 있어요. 기밀 정보를 빼내거나, 바이러스 등을 배포할 수도 있고요. 😱

웹쉘에 대한 자세한 설명은 Hackyboiz의 해키피디아를 참고해주세요!

일단, 제일 기본적으로 업로드되는 파일의 확장자를 잘 필터링해야 해요. 여기에서는 화이트리스트, 블랙리스트 방식을 사용할 수 있는데, 어느 것이 더 좋아보이나요?

각 장단점이 있지만 보안 측면에서는 화이트리스트 방식을 사용해야합니다! 😇

쉽게 설명하면 ⚫ 블랙리스트는 '쟤는 절대 안 돼!' 처럼 정해진 확장자만 업로드를 차단합니다. asp, php, jsp 확장자를 차단해도 php3, php4, asa 등 다른 확장자를 가진 웹쉘을 업로드하게 되면 차단을 못 시키고 그대로 업로드됩니다. 😓

반면 ⚪ 화이트리스트는 '우리는 png 파일만 받는다!' 라고 한다면 png 확장자 외의 다른 확장자는 모두 차단하는 방식이에요.

여담이지만 화이트리스트와 블랙리스트의 명칭을 허가 목록(allow list), 거부 목록(block list/deny list)으로 변경하자는 추세군요... 트위터, 애플, 구글 등의 IT 회사에서도 해당 용어를 버렸다고 하네요.

하지만 여기에서 재미있는 문제가 발생합니다. 해커가 '확장자는 맞춰줄게.. 근데 사실은 아닐껄?' 😈 이라는 생각으로 공격을 하는거죠.

올해 1월에 업로드된 Hackyboiz의 하루한줄을 가져와봤어요.

바로 exploit.php .jpg를 업로드한거죠. 어떻게 됐을까요?