코더의 보안 정복: 공유 및 학습 시리즈 - XML 인젝션

XML 인젝션 공격은 해커들이 XML 데이터베이스를 호스팅하는 시스템을 침해하기 위해 고안한 악의적인 공격 기법입니다. 여기에는 의약품부터 영화에 이르기까지 모든 종류의 상세 정보를 저장하는 전통적인 데이터베이스가 포함됩니다. 일부 XML 데이터 저장소는 사용자 인증 확인에도 사용되므로, 여기에 새로운 XML 코드를 삽입하면 호스트 시스템이 이후부터 승인하게 될 새로운 사용자를 생성할 수 있습니다.

공격자가 XML 인젝션을 실행하려면 XML 데이터베이스에 의존하거나 최소한 이에 접근하는 애플리케이션이 있어야 합니다. 이러한 환경에서 사용자 입력이 제대로 검증되지 않으면 새로운 XML 코드가 데이터 저장소에 추가될 수 있습니다. 공격자의 숙련도에 따라 새로운 XML 코드를 추가하여 상당한 피해를 입히거나 데이터베이스 전체에 대한 접근 권한을 얻을 수도 있습니다.

계속 읽어보시면 XML 인젝션이 이전에 다루었던 SQL 인젝션 공격과 밀접한 관련이 있다는 것을 알게 될 것입니다. 두 공격은 서로 다른 유형의 데이터베이스를 대상으로 하지만 매우 유사하기 때문입니다. 다행히 해결 방법 또한 비슷합니다. 한 가지 공격 유형을 방어하는 방법을 배우면 다른 공격을 예방하는 데에도 큰 도움이 될 것입니다.

이번 에피소드에서는 다음 내용을 배웁니다.

• XML 인젝션의 작동 원리
• XML 인젝션이 위험한 이유
• 이를 완전히 차단하기 위한 방어 체계 구축 방법

공격자는 어떻게 XML 인젝션을 유발할까요?

XML 인젝션은 권한이 없는 사용자가 XML 코드를 작성하여 기존 XML 데이터베이스에 삽입할 수 있을 때 성공합니다. 이를 위해서는 XML 데이터베이스에 의존하거나 연결된 애플리케이션과 공격자가 공격을 시작할 수 있는 보안되지 않은 데이터 경로라는 두 가지 조건이 필요합니다.

사용자 입력이 서버로 전송되어 처리되기 전에 삭제되거나 제한되지 않으면 XML 인젝션은 거의 항상 성공합니다. 이를 통해 공격자는 일반 쿼리 문자열 끝에 자신의 코드를 작성하거나 삽입할 수 있습니다. 공격에 성공하면 서버가 XML 코드를 실행하도록 속여 레코드를 추가 또는 삭제하거나 데이터베이스 전체를 노출시킬 수 있습니다.

해커는 일반 쿼리에 XML 코드를 추가하는 방식으로 XML 인젝션 공격을 수행합니다. 이는 검색 필드부터 로그인 페이지까지 무엇이든 될 수 있으며, 쿠키나 헤더가 포함될 수도 있습니다.

예를 들어, 등록 양식에서 사용자가 사용자 이름이나 비밀번호 필드 뒤에 다음과 같은 코드를 추가할 수 있습니다:

<user></user>
<role>administrator</role>
<username>John_Smith</username><password>Jump783!Tango@12</password>

이 예시에서는 John_Smith라는 새로운 사용자가 관리자 권한으로 생성됩니다. 적어도 이 새로운 사용자는 강력한 비밀번호 규칙을 준수하고 있네요. 안타깝게도 그 정체는 공격자입니다.

해커가 XML 인젝션으로 항상 큰 성과를 거두어야만 성공하는 것은 아닙니다. 쿼리를 조작하고 서버가 반환하는 다양한 오류 메시지를 기록함으로써 XML 데이터베이스의 구조를 파악할 수 있습니다. 그리고 이 정보는 다른 유형의 공격을 강화하는 데 사용될 수 있습니다.

XML 인젝션이 위험한 이유는 무엇일까요?

XML 인젝션 공격의 위험 수준은 대상 XML 데이터베이스에 저장된 정보나 해당 정보가 어떻게 사용되는지에 따라 달라집니다. 예를 들어, XML 데이터베이스가 사용자 인증에 사용되는 경우 XML 인젝션을 통해 공격자가 시스템에 접근할 수 있습니다. 심지어 대상 네트워크의 관리자 권한을 획득할 수도 있는데, 이는 매우 위험한 상황입니다.

더 전통적인 데이터베이스를 대상으로 하는 XML 인젝션의 경우, 정보가 도난당하거나, 저장소에 잘못된 데이터가 추가되거나, 유효한 데이터가 덮어쓰여질 위험이 있습니다. XML 코드는 배우기 어렵지 않으며, 일부 명령은 전체 정보 필드를 덮어쓰거나 데이터 저장소의 내용을 표시하는 등 매우 강력한 기능을 수행할 수 있습니다.

일반적으로 저장된 정보에 가치가 없다면 데이터베이스를 구축하지 않습니다. 해커들은 이를 잘 알고 있기 때문에 데이터베이스를 자주 표적으로 삼습니다. 만약 해당 데이터에 직원이나 고객의 개인 정보가 포함되어 있다면, 정보 유출로 인해 평판 하락, 재정적 손실, 거액의 벌금, 심지어 소송으로 이어질 수 있습니다.

XML 인젝션 공격 차단하기

XML 인젝션은 난이도가 낮고 XML 데이터베이스가 널리 사용됨에 따라 비교적 흔하게 발생합니다. 하지만 이러한 공격은 이미 오래전부터 존재해 왔으며, 따라서 공격 실행을 원천적으로 차단할 수 있는 확실한 해결책들이 마련되어 있습니다.

공격을 차단하는 가장 좋은 방법 중 하나는 애플리케이션을 설계할 때 미리 컴파일된 XML 쿼리만 사용하도록 하는 것입니다. 이렇게 하면 쿼리 기능이 승인된 활동 범위 내로 제한됩니다. 미리 컴파일된 쿼리 함수와 일치하지 않는 추가 인수나 명령이 포함된 입력값은 실행되지 않습니다. 좀 더 유연한 방식을 원한다면 매개변수화(parameterization)를 사용할 수도 있습니다. 이는 사용자 입력을 특정 유형의 쿼리나 데이터(예: 정수만 허용)로 제한합니다. 해당 매개변수를 벗어나는 입력은 유효하지 않은 것으로 간주되어 쿼리가 실패하게 됩니다.

미리 컴파일된 쿼리나 매개변수화된 쿼리와 함께 맞춤형 오류 메시지를 사용하는 것도 좋은 방법입니다. 쿼리 실패 시 기본적으로 제공되는 상세한 오류 메시지를 그대로 노출하는 대신, 애플리케이션에서 이를 가로채어 더 일반적인 메시지로 대체해야 합니다. 이상적으로는 사용자에게 쿼리 실패 이유를 알려주되, 데이터베이스 자체에 대한 정보는 제공하지 않는 것이 좋습니다. 맞춤형 메시지를 몇 가지로 제한하면 해커가 실패한 쿼리로부터 유용한 정보를 수집할 수 없습니다.

XML 인젝션은 초기 등장 당시 매우 위협적이었지만, 오랜 시간이 지난 지금은 더 이상 뚫리지 않는 방어 체계를 쉽게 구축할 수 있습니다.

XML 인젝션에 대한 추가 정보

더 자세한 내용은 OWASP의 XML 인젝션 관련 문서에서 확인하실 수 있습니다. 또한, 사이버 보안 팀을 최고의 사이버 전사로 훈련시키는 Secure Code Warrior 플랫폼의 무료 데모를 통해 방금 배운 방어 지식을 직접 테스트해 보세요. 이 취약점과 다양한 위협을 물리치는 방법에 대해 더 알아보려면 Secure Code Warrior 블로그를 방문해 주시기 바랍니다.