사이트 정보 한눈에 파악, 데이터 수정도 자유자재
파일을 올릴 수 있는 기능이 있는 한 인터넷 사이트 게시판에 프로그래머가 해킹 프로그램을 올린다. 파일 업로드를 완료한 후, 프로그래머가 파일을 실행하자 이 사이트를 관리하는 각종 데이터들이 검색된다. 관리자 페이지를 찾은 프로그래머는 이 사이트의 각종 정보를 한눈에 파악하는 것은 물론, 데이터를 수정까지 자유자재로 했다.

13일 머니투데이에서 주최한 보안세미나 '네트워크 시큐리티 페어(Network Security Fair)'에서 안랩코코넛 직원이 시현한 파일 업로드 취약점을 이용한 해킹 장면이다.

불과 몇분 사이에 한 사이트를 완전히 장악하는 모습에 이날 세미나에 참석한 300여명은 입을 다물지 못했다.

해킹 시범을 보인 안랩코코넛 직원은 "게시판 뿐 아니라 홈페이지 내의 각종 취약점을 이용해 손쉽게 해킹을 할 수 있는 공격하는 웹 사이트 해킹이 최근 늘고 있다"고 설명했다.

이같은 웹 애플리케이션 해킹이 늘고 있는 것은 웹 사이트 개발 프로세스에서 보안문제가 제대로 고려돼 있지 않기 때문이다. 상당수 사이트들이 웹 사이트 등을 개발할 때 보안담당자가 참여를 안하고, 보안을 고려한 개발지침이 없는 것이 현실이다.

이같은 웹 상의 취약점방을 이용한 해킹을 방어하기 위해서는 웹 애플리케이션 방화벽을 설치하는 게 효과적이라고 안랩코코넛은 설명했다.

안랩코코넛에 따르면 기존 방화벽이 웹 프로토콜에 대한 제어가 불가능한데 반해 웹 애플리케이션 방화벽은 업로드된 비정상적 파일을 실행하지 못하도록 차단하고, 업로드된 파일을 통한 삽입취약점 공격을 효과적으로 차단한다.