반갑습니다. 버그 바운티 헌터와의 인터뷰입니다.

이번 달 초, 벨기에의 버그 바운티 헌터인 인티 드 쇠켈레르(Inti De Ceukelaire)는 수백 개의 기업에 영향을 미치는 창의적인 해킹 기법을 공개했습니다. 이 트릭은 인기 있는 헬프데스크 및 이슈 트래커의 잘못된 비즈니스 로직을 악용하여 인트라넷, 소셜 미디어 계정, 또는 주로 Yammer 및 Slack 팀에 접근하는 방식입니다. 자세한 내용은 인티의 블로그 게시물에서 확인하실 수 있습니다. 저는 이 익스플로잇을 고안해낸 창의성에 깊은 인상을 받았고 그 과정이 궁금해져서 인티에게 몇 가지 질문을 던졌고, 그 답변을 여러분과 공유하고자 합니다.

인티 님, 독자분들께 간단한 자기소개 부탁드립니다.

저는 Intigriti와 Hackerone에서 활동하는 버그 바운티 헌터 인티입니다. 벨기에 알스트에 살며 매일 무언가를 해킹하며 시간을 보냅니다.

지난주에 '티켓 트릭(Ticket Trick)'이라고 명명하신 블로그 글을 읽고 그 창의적인 익스플로잇에 깊은 인상을 받았습니다. 이 트릭을 시도해 볼 생각을 어떻게 하게 되셨나요?

저는 버그 바운티 프로그램에 참여하고 있는데, 이는 특정 웹사이트가 독특한 취약점을 발견한 책임감 있는 보안 연구원에게 보상을 제공하는 제도입니다. 경쟁이 치열하기 때문에 남들이 아직 찾지 못한 것을 계속 찾아야 하죠. 저는 Slack이 민감한 정보를 담고 있는 경우가 많고 때로는 회사 이메일만 있으면 접근이 가능해서 흥미로운 공격 벡터라고 생각했습니다. 그래서 맥주 한 잔을 들고 소파에 누워 가능한 모든 공격 벡터를 고민하기 시작했죠. 그러다 갑자기 기발한 아이디어가 떠올랐고, 실제로 작동했습니다. 저는 보통 머릿속에 떠오르는 모든 것을 시도해 봅니다. 비록 몇 번 성공하지 못할 때도 있지만, 결국 성과로 이어지더군요. ;-)

보통 코드 보안을 담당하는 반대편에서 일하는 사람으로서, 펜테스팅 세션이 어떤 모습인지 궁금할 때가 많습니다. 어디서 작업하시나요? 여가 시간에 소파에서 하시는 건가요, 아니면 사무실에 앉아서 하시나요?

낮에는 Studio Brussel이라는 라디오 방송국에서 디지털 크리에이티브 코더로 일합니다. 프로그래밍과 소셜 미디어 관련 업무를 하지만 보안과는 거리가 멀죠. 취미와 본업을 섞지 않으려고 노력합니다. 섞으면 창의성을 잃을까 봐 두렵거든요. 해킹은 자주 하지 않습니다. 일주일에 기껏해야 몇 시간 정도죠. 식탁이든, 소파든, 침대든 그 순간 가장 편한 곳에서 합니다.

어떻게 시작하시나요? 치트 시트가 따로 있나요? 입력값 검증이나 출력값 이스케이핑이 충분한지 테스트하는 나름의 방법이 있으신가요?

저는 워낙 즉흥적인 편이라 체크리스트는 따로 없고 직감을 따릅니다. 보통은 '정찰(recon)'이라고 부르는 작업부터 시작합니다. 흥미로운 타겟 정보, 서브도메인, IP 주소 등 찾을 수 있는 모든 것을 나열하죠. 해킹을 시작하기 전에 전체적인 그림을 보고 비즈니스 로직을 이해하려고 노력합니다. 교과서적인 표준 취약점만 찾다 보면 더 영리하고 복잡한 결함들을 놓치기 십상이거든요. 입력값의 경우, 하나의 페이로드로 최대한 많은 취약점을 커버하려고 합니다. 흥미로운 점을 발견하면 한동안 가지고 놀면서 말도 안 되는 값들을 잔뜩 넣어보고 시스템이 어떻게 반응하는지 지켜봅니다. 최고의 버그는 웹 애플리케이션의 구석진 곳에서 발견되는 경우가 많아서 최대한 깊이 파고들려고 합니다.

훌륭한 펜테스터의 자질은 무엇이라고 생각하시나요? 공유해주실 만한 팁이 있을까요?

저는 펜테스터가 아니라 일반적인 펜테스터를 대변할 수는 없지만, 동기 부여와 끈기가 가장 중요한 자산이라고 생각합니다. 대부분의 사람들은 구글에 세계 최고의 엔지니어들이 있으니 보안 취약점을 찾는 것을 고려조차 하지 않겠지만, 구글은 매년 수백만 달러의 버그 바운티를 지급합니다. 저는 2년 넘게 한 타겟을 연구하고 있는데 이제야 정말 흥미로운 버그들이 보이기 시작하더군요. 시간이 걸리는 일입니다. 일반적인 펜테스팅의 문제는 테스터들이 치명적인 취약점을 찾든 아니든 정해진 금액만 받는다는 점입니다. 저는 페이스북에도 여전히 버그가 많다고 믿습니다. 단지 충분히 깊이 파고들 의지가 있는 사람이 필요할 뿐이죠.

티켓 트릭의 규모를 깨달았을 때, 첫 생각이 어떠셨나요?

복잡한 심경이었습니다. 놀랍기도 했고 이걸로 받을 수 있는 버그 바운티가 바로 떠올랐지만, 한편으로는 이런 일이 가능하다는 사실에 충격을 받았습니다. 이런 것을 발견하면 악의적인 당사자들이 매우 탐낼 만한 귀중한 정보를 순식간에 손에 넣게 되니까요. 공개 과정은 매우 어렵습니다. 최대한 많은 피해 기업에 알려야 하지만, 동시에 정보가 유출되거나 악용되지 않도록 확실히 해야 하니까요.

더 많은 바운티를 받기 전에 정보를 공개하기로 결정한 이유는 무엇인가요?

바운티를 챙기는 것보다 옳은 일을 하는 것이 더 중요합니다. 저는 이미 충분히 받았다고 생각하고 이제는 커뮤니티에 환원하고 싶었습니다. 게다가 몇 달 동안 기업들에 이 문제를 알려왔기 때문에 이미 많은 사람이 알고 있었죠. 나쁜 의도를 가진 누군가에게 유출되거나 악용되는 것을 원치 않았습니다.

피해 기업들의 반응은 어떠했나요?

대부분의 반응은 만족스러웠습니다. 어떤 기업들은 별로 신경 쓰지 않았지만, 결국 그들의 손해죠. 보안 연구원으로서 거절당하는 것도 이 일의 일부입니다. 적어도 소송을 당하지는 않았으니까요. 10년 전이었다면 아마 소송에 휘말렸을지도 모릅니다.

마지막으로 하나 더 여쭤볼게요. 레딧에서 버그 바운티로 8,000달러를 받으셨다는 글을 봤는데, 이 돈으로 특별히 계획하신 일이 있으신가요?

이번 버그로 총 2만 달러가 넘는 금액을 받았습니다. 절반 이상은 세금으로 나갔고요. 나머지는 여행을 가거나 외식을 하는 등 평범하게 사용했습니다. 특별한 건 없어요. :-)

시간 내주셔서 정말 감사합니다. 앞으로도 멋진 활약 기대하겠습니다!

그 버그는 아직 남아 있습니다. 당장 해결할 수 있는 문제가 아니거든요. 지난 몇 달간 버그 바운티 프로그램의 일환으로 수십 개의 기업과 관련 업체에 연락해 설정을 수정하도록 요청했습니다.

https://medium.freecodecamp.org/how-i-hacked-hundreds-of-companies-through-their-helpdesk-b7680ddc2d4c