“움직이는 모든 것이 해킹 대상이 되고 있다”

지난 24일 종로 둘로스 아노게온 소극장에서 열린 시큐어연구회 ‘웹해킹 방지를 위한 보안기술 세미나’에서 시큐어연구회 김영진 팀장은 웹해킹 변천사를 주제로 한 발표에서 “중국 해커들의 웹 공격이 변태적으로 진화하고 있다”며 “이들의 공격은 도식적인 패턴으로는 막을 수 없다. 계속 공부하고 생각하며 막아 나가야 한다”고 강조했다.

특히 중국의 웹 해킹은 누구나 쉽게 공격 코드를 사용할 수 있다는 점에서 위험하다는 지적이 나왔다. 일반적으로 사용하고 있는 웹 해킹 방식은 SQL인젝션 공격과 파일 업로드, 파일 다운로드, 크로스사이트스크립팅, 취약한 아이디와 패스워드 공격, 쿠키 스푸핑, 중요 데어터의 미암호화와 취약한 암호화에 대한 공격, 관리자 페이지 추출, 에러 유발을 통한 정보획득, 디폴트 페이지 등에 대한 공격이 주를 일루고 있다.

한국은 이들의 일반적인 웹 해킹 공격에도 당하고 있지만 중국 해커들은 이러한 공격 방법이 먹히지 않으면 응용기법을 동원해 웹 해킹을 시도하고 있다고 밝혔다.

예를 들면 이벤트에 응모할 때 이벤트 작성란에 악성코드를 삽입해 이벤트에 응모하기 위해 해당 사이트에 들어와 입력을 한 모든 사용자들이 감염되도록 만드는 방식이다.

또 개발자의 개발 패턴을 분석해 패턴을 이용한 공격방법도 유행하고 있다고 한다. 개발자들이 통상적으로 사용하는 개발 패턴을 알면 공격 방법도 알 수 있다는 것.

이날 강연에서는 ASP와 JSP에 대한 웹 해킹 방식도 공개됐다. 김 팀장은 “중국 해커들의 공격코드를 보면 아주 심플하며 사용법도 간단하다”며 “스크립트 라인이 짧고 통상 100라인을 넘지 않는다”고 소개했다.

그는 “이제 해킹은 움직이는 모든 것이 해킹의 대상이 되고 있다. 하이패스 카드나 IC카드, 버스카드 등이 대상이 될 수도 있다”며 “하지만 우리나라에서는 이러한 방법들에 대해 연구하려해도 자료가 없다. 연구는 많이 하고 있지만 이러한 것들이 교류가 되지 않는다. 알아야 막을 수 있는데 그러한 환경 조성이 시급하다”고 강조했다. 
[길민권 기자(reporter21@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>