2010년 4월 14일 수요일

Apache.org 사이트 해킹 당해 정보 유출

웹 서버로 유명한 아파치 웹 사이트가 해커에 의해 공격당했다. 문제가 된 사이트는 버그트랙 관련
시스템이 운영중인 issues.apache.org 이다. 4월6일날 해킹이 당했고, 공격방법은 XSS 를 이용한 것이다.
글을 하나 등록하면서 XSS 가 포함된 스크립트를 삽입하여 세션을 얻어간 것이다. 올린 글 문구는
아래와 같다 :

ive got this error while browsing some projects in jira http://tinyurl.com/XXXXXXXXX [삭제]

즉, tinyurl.com/XXXXXXXX 에 XSS 가 있었고, 관리자가 클릭을 하면서 관리자의 세션이 노출이 된 것이다.
어찌되었든 그것이 기초가 되어 해킹에 까지 성공한 것이다. JIRA DB 가 유출되어 사용자들의 아이디,
패스워드가 노출되었다. 비록 SHA-512 로 해쉬화 되어 저장되어 있었지만, 간단한 패스워드를 사용한
경우라면 Brute Force 공격을 통해 비밀번호를 얻어낼 수 있는 상황이다.  이번 사건과 관련해 4월14일 새벽에
다음과 같은 메일이 나에게 왔다.

issues.apache.org 가 해킹 당했으니, 패스워드를 업데이트 하라는 내용이다. 보통, 다른 온라인
사이트에서도 같은 패스워드를 사용하는 경우가 많으니 업데이트 해줄것을 당부하고
자세한 내용을 블로그에 기재해 놓았다. 다음 블로그를 방문하면 자세한 내막을 알 수 있다.



블로그에서도 자세한 내용을 공개하는 것은 이번 사례를 통해 다른 사람들이 배우기를 원하는 것이다.
비록 이런 사건이 일어나서 안타깝지만, 발생 사실을 비교적 세세하게 공개하여 교훈을 얻을 수 있도록 한
점이 맘에 든다. 다만, 해킹 사건 이후 즉각적으로 알려지지 않아 아쉽지만.... 만약 이런일이
우리나라 사이트에서 일어났다면 어땠을까 ? 숨기기에 급급했을까..아니면...


댓글 1개:

  1. trackback from: XHTML (Wikipedia)
    XHTML(Extensible Hypertext Markup Language)은 HTML과 동등한 표현 능력을 지닌 마크업 언어로, HTML보다 엄격한 문법을 가진다. HTML이 SGML의 응용인 데 반해, 매우 유연한 마크업 언어인 XHTML은 SGML의 제한된 부분집합인 XML의 응용이다. XHTML 문서는 하나의 XML 문서로서 문법적으로 정확해야 하기 때문에, HTML과 달리 표준 XML 라이브러리를 이용한 자동화된 처리가 가능하다. XHTM..

    답글삭제