개발자를 위한 보안 정복: 공유 및 학습 시리즈 - 코드 삽입

코드 인젝션 공격은 많은 웹사이트와 애플리케이션이 직면하는 가장 흔하면서도 위험한 공격 중 하나입니다. 공격의 정교함과 위험성은 천차만별이지만, 사용자 입력을 받는 거의 모든 사이트나 앱이 취약할 수 있습니다. 사실 이러한 공격은 모든 사이버 보안 담당자가 경력을 쌓으면서 한 번쯤은 마주하게 되며, 아마 여러 번 대응해야 할 문제이기도 합니다.

코드 인젝션 공격은 애플리케이션이나 웹사이트가 사용자로부터 입력을 받을 때마다 발생할 수 있습니다. 검색 기능을 제공하거나 사용자에게 식별 정보를 입력하도록 요청하는 것만큼 간단한 경우에도 발생합니다. 이 공격은 악의적인 사용자가 일반적인 텍스트 입력 대신 코드를 입력 필드에 입력할 때 발생합니다. 공격자의 목표는 서버가 해당 입력을 유효한 코드로 착각하게 만들어 공격자가 원하는 기능을 실행하도록 하는 것입니다.

코드 인젝션 공격은 매우 흔하지만, 이를 막기 위한 방어 수단 또한 잘 마련되어 있습니다. 이번 에피소드에서는 다음 내용을 배웁니다.

• 작동 원리
• 위험한 이유
• 이를 방어하기 위한 보안 조치 방법

공격자는 코드 인젝션을 어떻게 활용하는가?

코드 인젝션 공격의 세부 사항은 사용하는 프로그래밍 언어에 따라 다르지만, 사용자가 데이터를 입력할 수 있는 모든 앱이나 웹사이트는 취약할 수 있습니다. 코드 인젝션 공격은 SQL, HTML, XML, CSS를 비롯한 모든 일반적인 프로그래밍 언어에서 발생해 왔습니다.

먼저 공격자는 애플리케이션 내에서 취약한 코드를 찾아야 하는데, 보통 사용자가 직접 입력을 할 수 있는 지점에서 발견됩니다. 예를 들어, 다음 코드는 PHP의 eval() 함수를 사용하여 반환된 문자열에 대한 검증 없이 사용자가 이를 수정하도록 허용합니다.

$myvar = "varname";
$x = $_GET[arg];
eval("\$myvar = \$x;");

영리한 공격자라면 eval 함수에 자신의 문자열을 쉽게 추가하여, 원할 경우 시스템 명령까지 실행할 수 있습니다.

/index.php?arg=1; system(id)

코드 인젝션 공격이 시스템 명령을 전송하는 것만 포함하는 것은 아니라는 점에 유의해야 합니다. 사실 코드 인젝션 공격에서 해커의 제약은 해당 언어의 기능에 의해서만 결정됩니다. 위 예시에서 공격자는 PHP 프레임워크가 허용하는 거의 모든 작업을 수행하도록 대상 시스템을 프로그래밍할 수 있습니다.

코드 인젝션 공격이 위험한 이유는 무엇인가?

코드 인젝션 공격은 공격자의 기술 수준에 따라 매우 위험할 수 있습니다. 공격자는 프로그래밍 언어가 허용하는 모든 작업을 수행할 수 있으며, 이는 앱 개발자와 동일한 권한을 갖는 것과 같습니다. 공격자는 사실상 자신만의 앱을 작성하여 대상 환경 내에서 실행할 수 있습니다.

기술이 부족한 공격자라도 위험할 수 있습니다. 직접 애플리케이션이나 코드 문자열을 작성하는 대신, 대상 시스템에 미리 프로그래밍된 악성 코드를 수락하고 설치하도록 명령할 수 있기 때문입니다. 이는 사이트 변조, 랜섬웨어 공격으로 이어지거나 사이트 사용자를 대상으로 하는 피싱 캠페인의 기반이 될 수도 있습니다.

대부분의 경우 코드 인젝션 공격은 사용자 목록이나 비밀번호를 훔치거나, 추가적인 침해를 위해 시스템에 대한 가치 있는 정보를 수집하는 데 사용됩니다. 하지만 숙련된 코더는 코드 인젝션 공격으로 거의 모든 것을 할 수 있으므로, 잠재적인 공격 지점을 모두 찾아 환경에서 제거하는 것이 매우 중요합니다.

아무도 믿지 마라! (적어도 사용자는 믿지 마라)

코드 인젝션 공격 취약점을 제거할 때 가장 먼저 살펴봐야 할 곳은 사용자 입력을 요청하거나 허용하는 모든 지점입니다. 사용자가 입력한 것은 어떤 상황에서도 신뢰해서는 안 됩니다. 필터링이나 검사 없이 사용자 입력을 허용한다면, 사실상 공격자에게 시스템이나 네트워크를 침해할 기회를 무료로 제공하는 셈입니다.

항상 가능한 것은 아니지만, 코드 인젝션 공격을 막는 가장 좋은 방법은 함수가 사용자 입력을 직접 실행하거나 해석하지 못하게 하는 것입니다. 사용자가 자유롭게 쿼리를 입력하게 하는 대신 정적 옵션 중에서 선택하게 하고, 애플리케이션이 제한된 선택지만 유효한 것으로 받아들이도록 프로그래밍할 수 있습니다. 항상 적절한 방법은 아닐 수 있지만, 가능한 곳에 적용하면 코드 인젝션을 원천 차단할 수 있습니다.

사용자가 직접 입력을 해야 하는 영역에서는 해당 데이터에 엄격한 통제를 가해야 합니다. 모든 입력을 잠재적인 공격으로 간주하는 것이 좋은 출발점입니다. 클라이언트와 서버 측 모두에서 읽기 전용 사용자 액세스와 같은 최소 권한 정책을 시행하면 대부분의 코드 실행을 방지할 수 있습니다.

또 다른 효과적인 방어책은 모든 사용자 입력값에 대해 애플리케이션 전반에 걸친 필터링과 살균(sanitization)을 구현하는 것입니다. 개발자들은 수년간 코드 삽입 공격의 위험성을 인지해 왔으며, 모든 프레임워크와 언어에 검증된 필터 라이브러리가 존재합니다. 이러한 필터를 적용할 때는 눈에 띄는 사용자 입력란이나 Get 및 Post 명령과 같은 일반적인 매개변수뿐만 아니라, 쿠키와 HTTP 헤더까지 철저히 검사해야 합니다.

코드 삽입 공격에 대한 수정 방안 적용

환경에서 불필요한 사용자 입력란을 제거하고, 최소 권한 원칙을 준수하며, 최신 필터링 및 살균 도구를 사용하여 잠재적인 공격을 탐지함으로써 이 위험한 취약점을 원천 차단할 수 있습니다. 사용자 입력은 절대 신뢰하지 않는다는 마음가짐을 갖는 것 또한 앞으로 큰 도움이 될 것입니다. 이러한 조치들을 실천한다면 위험한 공격 유형을 한발 앞서 예방할 수 있습니다.

더 자세한 내용은 OWASP의 코드 삽입 관련 문서에서 확인하실 수 있습니다. 또한, 새롭게 습득한 방어 지식을 무료 데모를 통해 테스트해 보세요. Secure Code Warrior 플랫폼은 사이버 보안 팀이 최고의 사이버 전사로 거듭날 수 있도록 훈련을 제공합니다. 이 취약점과 다양한 위협 요소들을 물리치는 방법에 대해 더 알아보려면 Secure Code Warrior 블로그를 방문해 보세요.

지금 바로 코드 삽입 공격에 정면으로 맞서 보세요. 게임화된 교육 플랫폼에서 챌린지에 도전하세요: [시작하기]