많은 홈페이지들이 취약점이 존재한 채 악의적 해커들이 홈페이지 해킹을 시도하고 있다. 특히 '제로보드'나 '그누보드' 같은 형식의 홈페이지 빌더는 버전이 새롭게 나오면서 취약점이나 버그가 보완되어 업데이트가 되고 있지만 많은 홈페이지 관리자들이 업데이트가 귀찮아 업데이트를 하지않고 홈페이지를 운영하고 있어 문제다. 홈페이지뿐만 아니라 호스팅을 받고 있는 서버에도 문제가될 수 있어 주의가 요구된다.
 
이 문제를 데일리시큐에 제보한 지창훈(한국교통대학교 정보통신학과 1학년)씨는 “특히 취약점이 많은 제로보드4버전의 pl7 이하 버전에는 웹쉘 해킹에 주의 해야 한다”며 “홈페이지가 해킹을 당하면 기본적으로 nobody권한의 상태로 해킹을 하게 되지만 서버가 GCC와 같은 컴파일러 권한이 있다면 exploit에 의해 루트권한 획득후 서버에 있는 모든 홈페이지를 해커가 마음대로 다룰 수 있다”고 경고했다.
 
또 “GCC컴파일 권한이 없다 하더라도 해커가 리눅스에서 컴파일후 파일을 업로드 성공후 쉘에서 실행해준다면 가능한 일”이라며 “한편 구글 검색으로 간편히 홈페이지 해킹에 노출되기 쉽다. 구글 검색에 "inurl/view.php?id=XXXXXXXXX"(일부 코드 X로 표기)으로 검색하면 비회원이나 간단한 회원가입으로 글을 쓸 수 있는 취약점을 발견할 수 있다. 이와같은 해킹을 막기 위해서는 가능하면 게시판에 업로드 기능을 사용하지 말아야 하며 확장자 필터링에도 유의 해야 한다”고 강조했다.
 
홈페이지 관리자가 업데이트를 하지 않고 운영하면 홈페이지뿐만 아니라 호스팅을 받고 있는 서버에도 문제가 될 수 있다.
 
그는 이에 대해 “일부 호스팅사이트는 한 서버에 유료 호스팅계정과 무료 호스팅계정을 같은 디렉토리에 넣어 운영하는 곳이 있다”며 “웹쉘은 최상위 디렉토리(/)까지 갈 수 있기 때문에 이 서버가 어떤 홈페이지를 서비스하고 있는지 알 수 있을 뿐만 아니라 최고관리자권한(root)을 exploit으로 해킹한다면 무료호스팅서비스를 받고 있는 홈페이지는 물론 유료서비스를 받고 있는 홈페이지까지 조작할 수 있다”고 설명했다.
 
또 “상업적 업체의 경우 부당이익을 위해 결제시스템 모듈에 계좌를 바꾸어 이익을 얻는 경우도 주의를 기울여야 한다”고 밝혔다.  
 
그는 또 제로보드4버전의 pl7 이하 버전에서 웹쉘해킹에 주의해야 한다 것에 대해 “제로보드4버전 pl7이하 버전은 업로드취약점이 강한 대표적인 빌드형 웹프로그램이다. 업로드 권한이 있다면 .htaccess(웹서버 구성 파일)의 내용 AddType application/x-httpd-php .php .php3 .php4 .htm .html .txt .hackfile을 입력하고 업로드하게 되면 확장자가 굳이 php,asp,html이 아니고 .hackfile이라는 확장자로 업로드 해도 php기능을 활성화 해 줄 수 있다고”고 설명했다.
 
한편 실제로 구글검색 해킹이 악의적 공격자들 사이에서 활용되고 있다는 것도 주의해야 한다.  그는 “실제 구글검색으로 많은 익명의 악성 해커들이나 일반인도 간단한 검색으로 타인의 개인정보를 알아내거나 홈페이지 취약점을 찾고 있다”며 “inurl:index of ~ /music을 입력하면 최상위 디렉토리중 music이라는 디렉토리가 있는 홈페이지를 찾아준다. 아파치 취약점의 대표적인 경우인데 간혹 인터넷강의사이트에서도 유료강의가 보이는 비슷한 디렉토리 취약점이 보이기도 한다”고 밝혔다.
 
또한 “이미 다른 해커가 해킹해 유명한 웹쉘을 업로드 한경우 inurl:대표적인 해커의 업로드 디렉토리/웹쉘 이와같은 형식으로 이미 업로드가있는 홈페이지를 접속할 수도 있다”고 덧붙였다.
 
또한 게시판에 업로드 기능을 사용하지 말아야 하고 확장자 필터링에도 유의해야 한다는 설명에 그는 “웹쉘은 권한이 노바디 권한이어도 매우 위험하다. exploit에 노출 된다면 루트권한의 위험성과 mysql을 해킹해 개인정보를 빼낼 수 있다는 것이 가장 큰 우려사항”이라며 “웹쉘은 한번 올라가면 불가능한 것이 없다고 봐도 과언이 아니다. 그렇기 때문에 대표적인 웹 프로그램 확장자인 php,asp,jsp,cgi를 막아야 한다”고 강조했다.
 
데일리시큐 길민권 기자 mkgil@dailysecu.com