씨디맨의 컴퓨터이야기

최근에 사이트가 재대로 뜨지 않는 문제를 격었습니다
사이트에서 뜨지않는 부분은 DB 를 활용하는 게시판과 그림파일등 부분이었습니다

일단 DB 를 살펴보았습니다



(위에 내용은 예를 든것입니다)
DB 에 레코드에는 <script src=http://s.ardoshanghai.com/s.js>  와 같은 내용들이 무수히 많이 들어가있었습니다

SQL INJECTION 공격을 당한것입니다 이렇게 DB 에 강제로 스크립트를 추가해놓고 이 필드의 내용이 페이지에 뛰워질때
실행이 되어서 악의적인 목적으로 사용되게 됩니다


제생각에 일단공격을 당한다면 백업이 우선인듯합니다 최대한 빠르게 백업을 실시하고 또 백업본을 따로 보관해야합니다

이제 강제로 넣어진 스크립트를 삭제를 해야합니다

http://cdmanii.tistory.com/entry/SQL-Injection-DB-에-일괄적으로-내용-삭제하기-및-예방

이방법 대로 하면 일단 추가된 스크립트를 DB 의 레코더에서 삭제할 수 있습니다

이제는 어떤식으로 스크립트를 추가했는지 그리고 예방책을 강구해야합니다



어떤식으로 접근을 했는지 알아보는 방법으로는 로그를 확인하는 방법입니다 
제가 확인한 사이트는 특별히 로그를 쌓고 있지 않았습니다 로그를 다시 활성화를 합니다 



시작->실행->inetmgr->해당사이트->등록정보  에서 로깅사용 을 체크를 한뒤 등록정보에서 
로그가 쌓일 경로를 정해줍니다 

공격의 경우 약간의 시간간격을 두고 계속 공격이 들어오기에 로그를 켜놓고 곧 확인이 가능합니다


로그가 쌓이고 공격도 한번 더 받았습니다




로그를 확인하던중 공격의 증상으로 보이는 부분을 확인했습니다 무언가를 인코딩해서 보내는것같군요


위에 부분은 파라미터를 받는 웹파일의 경우 끝에 ;인코딩 문자를 더 붙여서 SQL문을 직접 실행시키는 공격입니다
로그를 더 살피던중에 여러파일을 이용해서 저런식으로 공격시도를 한다는걸 알았습니다 대부분은 문자열처리등으로
막혔지만 몇몇개는 실행이 되버렸습니다 그래서 공격에 당하게 되었습니다

공격에 취약한 코드들은 아래와같습니다




위에 코드가 위험한 이유는 http://www.test.com/test.asp?que=1111   이런식으로 호출을 한다고 쳤을때
1111 의 내용이 바로 SQL 문에 사용된다는점에 있습니다 이럴경우 파라미터에 임의로 악의적인 코드를 입력해서
공격이 가능하게되죠 

저는 일단 코드상에서 막아보려고 했지만 손봐야 할파일이 너무 많았습니다 POST 와 GET 으로 넘어오는 전역변수를
검사하는 방법도 있긴했지만 보다 확실히 막는 방법이 필요했습니다

무엇으로 확실히 막을 수 있을까 하다가 UrlScan 을 찾고 이것을 사용해보기로 했습니다
http://www.microsoft.com/downloads/thankyou.aspx?familyId=ee41818f-3363-4e24-9940-321603531989&displayLang=en
http://learn.iis.net/page.aspx/473/using-urlscan
http://support.microsoft.com/kb/326444/ko

UrlScan v3.1 is a security tool that restricts the types of HTTP requests that Internet Information Services (IIS) will process. By blocking specific HTTP requests, UrlScan helps prevent potentially harmful requests from being processed by web applications on the server. UrlScan v3.1 has feature upgrades and fixes from its predecessor (v2.5) such as the ability to scan query strings, the ability to custom tailor rules that scan parts of your HTTP requests and many others. UrlScan v3.1 will install as an ISAPI filter on IIS 5.1 and later, including the latest IIS 7.0 for Windows Server 2008.




일단 UrlScan 을 다운로드한뒤 설치 후 URLScan.ini 파일을 수정을 합니다
경로는  %WINDIR%\System32\Inetsrv\URLscan 입니다

설치후 IIS 의 해당사이트는 ISAPI 의 필터에 URLScan.dll 을 추가해주면 됩니다  (IIS 재시작)

URLScan 옵션 보기 더보기

제가 사용할때는 < , > , @ , -- , ` , ' 등을 막도록 해놓았지만 공격자가 다른방법을 써서인지 막히지를 않고
계속 공격을 하는 모습을 보여주었습니다

좀더 확실하게 막을 방법을 찾던중에 로그도 다시한번 확인해볼겸 WebKnight 를 쓰기로 했습니다 

http://www.aqtronix.com/   에서 WebKnight 최신버전을 다운로드 후 설치를 합니다  2.2 버전까지나와있군요

다만 WebKnight 가 강력한 툴이긴 하지만 모든 환경에 맞게끔 되어있지는 않습니다 때문에 일단은 로그가 쌓이도록
설정해놓고 모니터링만 켜둔뒤 어떤것을 막을지 그리고 어떤것은 허용할지 정확히 정해지면 그때 시행을 해야합니다

약간의 시행착오는 어쩔 수 없는듯 합니다

WebKnight 을 다운로드 후 Setup 을 하게되면 C:\Program Files\AQTRONIX Webknight 에 기본적으로 설치가 되게됩니다
Config.exe 를 일단 실행시켜봅니다

환경설정파일인 xml 을 고르는 부분이 나오는데 WebKnight.xml 을 선택합니다





Config 설정창에 WebKnight Configuration -> Incident Response Handling 을 선택 한 뒤 



Response Log Only 에 체크가 되어있는지 확인합니다 


체크를 하게되면 유효한 공격이 들어오더라도 로그에 Block 이라고 나타나긴 하지만 실제로는 로그만
쌓고 막지는 않게 됩니다 마그대로 로그만 쌓게 됩니다

이것을 하는 이유는 정상적인 파라미터와 정상적인 사이트 및 접근도 막을 수 있기때문에 일단은 로그
분석이 먼저이기 때문에 체크를 합니다

이제 IIS 에 ISAPI 에 WebKnight 를 필터로 등록을 합니다

IIS 등록정보에서 해당사이트의 등록정보에 ISAPI 필터에 추가버튼을 누른뒤

필터이름 : WebKnight (임의 수정가능)
실행파일 : C:\Program Files\AQTRONIX Webknight\WebKnight.dll

를 선택한뒤 확인을 해줍니다



해당필터가 등록된 후 IIS 를 재가동 시켜줍니다
시작 -> 실행 -> iisreset

필터의 우선순위는 가장상위에 두었습니다 이제 해당사이트에 관련된 로그가 쌓이게 될것입니다



로그의 확인은 WebKnight 설치 폴더의 LogAnalysis.exe 를 실행시켜서 확인 가능합니다



공격이 이루어졌고 SQL injection 공격이란것이 다시한번 확인되는 로그부분입니다

WebKnight 는 기본적으로 경로에 admin 이나 또는 파일이름에 script 나 또는 /etc 폴더 등은 (이외에도 많이있음)
기본적으로 막게끔되어있습니다 해당사이트에 이런파일이름이나 또는 정책등이 있다면 미리 확인해보아야합니다

정상적으로 써야하는데 막힌다면 WebKnight.xml 설정에서 해당내용을 삭제해줘야합니다

제경우에는 Header 와 Querystring 로 넘어오는 내용중 SQL INJECTION 관련된 내용이 있을경우 블럭을 하라고
설정을 다시 했습니다


그런뒤 위에 실제로는 블럭하지 않고 로그만 쌓이게 하라는 옵션인 Response Log Only 를 체크를 꺼줍니다

WebKnight 가 가동이 되고 이제 블럭이 되는 모습을 다시 볼 수 있을겁니다 
블럭이 되는지 확인해보는방법에는 기본적으로 상위폴더로 접근하는 ../ 를 막도록 되어있는데

해당사이트의 URL 에 ../../../ 를 넣어봅니다  예)  http://www.test.com/../../../




위와 같이 페이지가 뜨면서 블록이 되는걸 확인 할 수 있습니다

이제 악의적인 공격으로 Header 나 QueryString 으로 내용을 날릴경우 위와같이 페이지가 뜨면서 블록이 됩니다
공격자가 아무리 공격하더라도 필터에서 먼저 내용을 처리하기에 IIS 는 부하가 걸리지 않으면서 블록을 시켜
차단시킬 수 있습니다

더 좋은방법으로는 취약한 웹코드를 보안에 유리하도록 설정 및 SQL 의 최적화 , 그리고 쓰지않는 확장프로시저등을
내려두고 취약점을 살펴보는 것입니다



참고 문서들 :
http://support.microsoft.com/kb/326444/ko
http://www.microsoft.com/downloads/thankyou.aspx?familyId=ee41818f-3363-4e24-9940-321603531989&displayLang=en
http://www.aqtronix.com/ 
http://blog.naver.com/nugu99?Redirect=Log&logNo=70004957576
http://support.microsoft.com/default.aspx/kb/954476
http://blog.naver.com/sjm0126?Redirect=Log&logNo=50036689852
http://blog.naver.com/classic2u/50002735625
http://magic.littleworld.net/ai/kmod.asp?no=327&amp;isn=&amp;mymsg
http://blahblah.springnote.com/pages/351077
http://saybox.tistory.com/453