윈도우 계열의 대표적인 침입방법 Written By GasTai (WoWhacker Team) 1 . 들어가면서 요즘들어 윈도우 서버계열에 대한 침입및 웜피해로 인해 윈도우 서버의 신뢰도가 떨어지고 있다. 윈도우 서버 사용자들이 자주 겪을수 있는 공포의 파란화면(메모리 덤프등)과 대량의 네트워크 부하를 견디지 못하는 성능상의 한계와 개발도구의 부족 및 어플리케이션의 상용화등은 더욱더 이런문제를 가중하 시키고 있는듯하다. 그리고 서버로서의 중요한 문제인 안정성및 보안에 관해서도 크게 떨어지는듯 보여 윈도우 서버 계열 사용자들에게 더욱더 불신감만을 키워주고 있다. 리눅스나 기타 OS 사용자들이 운운하는 윈도우 서버 계열의 보안문제에 관한 잘못된 인식과 나쁜면만을 보는 안일한 인식을 바꾸고자 이문서를 작성한다. 2 . 대표적인 윈도우계열의 취약점 서문에서 밝혔듯이 윈도우 계열의 단점인 대량의 네트워크 부하를 견디지 못하는 취약점을 들수가 있다. 윈도우서버 계열은 DoS 공격에 대해 기타 다른장비가 아닌 자체 서버에서 적절하게 필터링을 할수가 없다. 물론 자체 설정에 필터링을 하는 기능이 있기는 하지만 큰 기능은 하지 못한다. 물론 이글은 글을쓰고 있는 나 자신의 개인적인 견해이니 오해하지 말고 참고만 하기 바란다. 유료 서비스를 제공하고 있는 사이트에서 윈도우계열 서버를 사용하는 경우 수도없는 DoS 공격을 견디지 못한다는 것은 크나큰 타격이 아닐수 없다. 물론 다른 방법으로 필터링을 해서 거를수도 있고 여러가지 해결방안이 있으니 조금만 신경쓰면 해결될수 있는 문제이기는 하다. 하지만 윈도우 서버 계열의 단점임을 부인할수는 없는것이다. 윈도우NT 나 2000의 경우 처음설치 한후 디폴트 상태로 서버를 돌리면 수도없는 취약점에 노출이 된다. 더욱 큰 문제는 국내의 30~40% 에 해당하는 NT나 2000계열의 서버들이 디폴트 상태라는 것이다. 디폴트 상태에서 겪을수 있는 상황을 몇가지 나열한다면. 1.유니코드(개중에는 별로 큰 문제가 아니라고 생각하는 사람들이 있는데 유니코드를 이용해서 웹피이지 변조나 IDS 우회등을 할수있는것은 작은 문제가 아니다.) 2.DoS(서버에 있어서 DoS에 의해서 자주 시스템이 다운이 된다면 그것은 서버로서의 기능을 상실한 것이다.) 3.넷바이오스(윈도우 특유의 취약점으로 원래 취지는 편리성 추구이지만 일부 크래커 들에 의해서 악의적인 의도로 쓰여질 확률이 높다.) 4.SNMP(여러가지 용도로 크래커들에게 사용될수 있다.) 5.Sample(처음 셋팅때 생성되는 폴더들로 지우지 않으면 악의적인 목적으로 사용된다.) 위에서 나열한것은 윈도우계열의 서버에서 흔히 발견할수 있는취약점이다. 물론 저것외에도 수없이 많지만 이 문서에서는 위의 5가지 내용만 다루기로 한다. 이 문서로 하여금 윈도우서버계열에 대한 보안의식강화와 아울러 윈도우서버계열에 대한 일부사람들의 오해가 조금이라도 사라졌으면 한다. 2-1 유니코드 유니코드는 세계각국의 수많은 언어들을 통일된 방법으로 표현하는 국제코드규약을 말한다. 한동안 말도많고 탈도 많던 이방법은 중국과 미국의 사이버 전쟁에 고래싸움에 새우등 터지듯이(?) 어중간한 우리나라또한 많이 당했던 방법이다. 유니코드 해킹이 무엇인가는 모두가 알고 있을테니 설명은 생략한다. 허나 중요한것은 유니코드를 이용해서 웹페이지를 변조하던지 그 웹서버의 내부를 볼수있는 것만이 있다는 것이 아니다. 유니코드를 이용하여 그 서버 시스템을 마비시킬수도 있으면 다운시킬수도 있고 유니코드를 이용해서 IDS를 우회할수도 있다. 유니코드 해결방법은 이미 여러군데에서 접했을것이다. 유니코드를 방지하려면 Inetpub 폴더내의 Script 폴더를 삭제하고 마이크로 소프트에서 제공하는 패치를 적용시키면 된다. 또한 가상디렉토리를 삭제하거나 가상디렉토리의 웹 실행권한을 제거해 주는것또한 좋은방법이다. 보안이라는 것은 어려운것이 아니다. 조금의 관심과 노력만 있다면 누구든지 쉽게 어느정도의 보안수준을 갖춘 서버를 만들수가 있다. 2-2 DoS(Denial Of Service) DoS 즉 서비스 거부공격은 시스템의 정상적인 동작을 방해하여 서비스의 제공을 거부하게 만드는 것으로 서비스를 제공하여야 하는 서버의 기능을 마비시키는 공격이다. 윈도우서버 계열은 DoS에 대해 특히 취약한면을 보인다. 이때 사용되는 공격방법에는 SYN Flooding 과 같이 TCP프로토콜 자체의 문제점을 이용한 방법이나 Teardrop과 같이 윈도우시스템의 IP 패킷 재조합시의 문제점을 이용한 방법은 그 방법의 수가 방대하다. 그 수가 방대한만큼 윈도우서버계열은 많은 위험에 노출되어 있는것이다. 해결방법또한 완전한 것이 없어 서버에 대한 지속적인 관리만이 유일한 방법이라 할수있다. 그리고 해당기법에 대한 패치를 적용하고 DoS 필터를 추가 시키며 라우터 차원에서 필터링을 하는등의 방법으로 어느정도 피해를 최소화 시킬수있다. 2-3 넷바이오스 넷바이오스는 마이크로소프트의 네트워크제품의 API이다. 넷바이오스의 원래 기능은 브로드캐스팅과 파일송.수신의 용이성을 들수있다. 하지만 이런점을 이용하여 크래커들은 그 서버에 침투하여 필요한 자료를 빼오거나 그 서버에 대한 정보를 얻을수 있으며 특정 파일을 삭제나 변조할수 있다. 부득이한 이유를 제외하고 서버에서 넷바이오스를 이용할 이유는 없다. 서버의 경우 필터링을 통해서 포트를 막고 컨트롤패널의 서비스에서 넷바이오스 서비스를 중지 해야 하며 프로토콜 을 삭제 하여야 한다. 다시 한번 조그마한 관심이 크래커들로 부터 서버를 지켜줄수 있다는것을 상기시켜야 할것이다. 2-4 SNMP SNMP는 TCP/IP 기반의 전산망을 관리할때 사용된다. 어떠한 크래킹이 다 그렇듯 초기목적과 다르게 그 서비스를 이용하여 서버를 무력화 시킨다. SNMP를 이용하면 유니코드와 비슷하게 그 서버의 내부와 현재 실행되고 있는 데몬 그리고 그 서버에 대한 정보등을 얻을수가 있다. 현재 띄워져 있는 데몬(이후 서비스)이 노출된다는 것은 그 서비스에 대한 알려진 취약점들을 얼마든지 이용하는 결과를 놓게 된다. 그리고 서버의 정보가 노출됨으로써 비밀을 요하는 정보나 원하는 파일등을 더욱더 쉽게 빼올수 있도록 도와준다. SNMP서비스를 막기 위해서는 컨트롤패널의 서비스에서 SNMP서비스를 중지하고 네트워크에서 해당 프로토콜을 삭제한다. 5.Sample Sample 폴더는 IIS 설치시 함께 설치되는 폴더이다. IIS를 처음접하는 사람이나 미리 테스트 해보고자 할때를 위해 제공되나 IIS 셋팅후에도 남겨놓는다면 관리자 패스워드 유출이나 서버정보유출 등의 문제를 야기시킨다. 좀더 쉽고 자세하게 설명하고 싶지만 이 문서는 기술문서가 아닌 인식변화를 위해 서술된 문서임을 유념해 주길 바란다. -Tip- Q.마이크로 소프트사의 서버들은 안정성이 떨어진다? A.타 서버용OS 에 비해 안정성이 떨어지는것은 사실이다. 하지만 일반 기업들이 서버로 사용할때는 별 무리가 없다. 그리고 운영을 보조해주는 프로그램을 쓰면 타OS 와 버금가는 안정성의 효과를 볼수있다. 윈도우NT나 2000은 한달에 꼭 한번씩은 재부팅을 해야 한다고 생각하는 사람도 있는데 윈도우NT나 2000또한 몇달간 재부팅없이 안정성있게 사용할수있다. Q.마이크로 소프트사의 서버들은 크래킹에 취약하다? A.이것은 상대적이라고 생각한다. NT나 2000의 서버 사용률이 늘어가고 또한 점유율로 볼때 외부에서 보기에는 당연히 NT나 2000이 크래킹을 많이 당한다고 생각할수도 있다. 하지만 전체 서버 점유률과 크래킹 횟수를 비교했을때 타 서버들과 비슷한 추세를 보인다. Q.마이크로 소프트사의 서버들은 타 OS에 비해 안정성도 떨어지는데 돈만 비싸다? A.물론 안정성이 떨어진다. 하지만 지원되는 애플리케이션이나 호환성면에서는 타 OS에 비해 뛰어나다. 모든 OS는 장단점이 있다. 그중에 자기에게 맞는것을 사용하면 될뿐이다.