bypass_apache_web_authentication.hwp

Size: px

Start display at page:

Download "bypass_apache_web_authentication.hwp"

희선 사
2 years ago
Views:

< 아파치웹인증우회하기 > By 달팽이 (neodal@wowhacker.

1 < 아파치웹인증우회하기 > By 달팽이

2 1. 요약 아파치웹인증은많은웹사이트에서여전히인증수단으로쓰이는방법으로아주간단한방법만으로설정하여사용할수있다. 본문서에서는아파치웹인증을설정하는방법을간략히설명하고관리자가이를잘못설정하는경우에발생하는웹인증취약성으로인증을우회할수있는방법을설명한다. 2. 아파치웹인증 아파치웹인증설정은다음의그림 1과같이웹서버설정파일 (httpd.conf) 을수정하고그림 2와같이아파치웹인증설정파일 (.htaccess) 을작성하면인증기능을활성화할수있다. <Directory "/var/www/html">... AllowOverride AuthConfig... </Directory> 그림 1. 아파치웹인증사용을위해아파치웹설정파일을설정한내용 htpasswd를이용하여아이디및암호를설정하면인증된사용자만접근을허용할수있게된다. htpasswd 사용법등은아래에명시한사이트에서얻기를바란다. AuthName AuthType AuthUserFile "Neodal's Top-secret" Basic "/home/mirr1004/public_html/secret/.htpasswd" <Limit GET POST> require valid-user </Limit> 그림 2. 기본인증타입의아파치웹인증설정파일을설정한내용 보다자세한설명은 사이트를참조하길바란다

위와같이아파치웹인증설정을하게되면아래의그림 3과같이웹인증창이뜨게되고아이디및암호를정확히입력하여인증을받아야만해당경로및하위경로의자원에접근할수있다. 그림 3. 아파치웹인증을설정했을때의아이디암호확인창 3. 아파치웹인증취약성 아파치웹인증을통해많은사용자들은자신의비밀자료나비밀게시판등을운영하고있다.

3 위와같이아파치웹인증설정을하게되면아래의그림 3과같이웹인증창이뜨게되고아이디및암호를정확히입력하여인증을받아야만해당경로및하위경로의자원에접근할수있다. 그림 3. 아파치웹인증을설정했을때의아이디암호확인창 3. 아파치웹인증취약성 아파치웹인증을통해많은사용자들은자신의비밀자료나비밀게시판등을운영하고있다. 그러나아파치웹인증을설정하는많은관리자들이간과하여잘못설정하는경우에는아파치웹인증을우회할수있게된다. 아파치웹인증설정중에 <Limit></Limit> 의속성으로제한하고자하는메소드를설정하고인증방식을설정할수있다. 일반적으로사용자들은 <Limit GET POST> 라고이부분을설정하게된다. 이이유는여러가지가있을수있겠지만가장큰원인중에하나로웹검색에서아파치웹설정과관련된문서를검색하였을때에검색되는대부분의문서들이 GET POST 메소드만으로설명된문서들이주로검색된다는것을들수있다. 이처럼 <Limit GET POST>... </Limit> 만으로아파치웹인증을설정하게되면사용자의요청중에서메소드가 GET 또는 POST인경우에만적용되고이외의메소드는접근을허용하게되기때문에이러한관리자의실수를이용하여아파치웹인증을우회할수있게된다

4 3.1 아파치웹인증요청테스트 위의그림 2와같이설정된경우 GET, POST 메소드로먼저요청해보고설정되지않은메소드들로요청하여우회되는과정을설명한다. telnet zzigregi.com 80 Trying Connected to zzigregi.com. Escape character is '^]'. GET /secret/ HTTP/1.1 Host: zzigregi.com HTTP/ Authorization Required Date: Sat, 28 Jun :09:57 GMT Server: Apache/2.2.8 (Fedora) WWW-Authenticate: Basic realm="neodal's Top-secret" Content-Length: 478 Connection: close Content-Type: text/html; charset=iso <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN"> <html><head> <title>401 Authorization Required</title> </head><body> <h1>authorization Required</h1> <p>this server could not verify that you are authorized to access the document requested. Either you supplied the wrong credentials (e.g., bad password), or your browser doesn't understand how to supply the credentials required.</p> 그림 4. GET 메소드로요청하였을때인증이요구됨 GET 메소드로 /secret/ 디렉터리를요청하였을때에그림 4와같이인증이요구됨을볼수있다. 이경우웹브라우저에서는그림 3과같은인증창을띄워서아이디및암호를입력받아다시서버로보내어인증받고인증되면접근을허용한다

5 telnet zzigregi.com 80 Trying Connected to zzigregi.com. Escape character is '^]'. POST /secret/ HTTP/1.1 Host: zzigregi.com HTTP/ Authorization Required Date: Sat, 28 Jun :14:21 GMT Server: Apache/2.2.8 (Fedora) WWW-Authenticate: Basic realm="neodal's Top-secret" Content-Length: 478 Connection: close Content-Type: text/html; charset=iso <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN"> <html><head> <title>401 Authorization Required</title> </head><body> <h1>authorization Required</h1> <p>this server could not verify that you are authorized to access the document requested. Either you supplied the wrong credentials (e.g., bad password), or your browser doesn't understand how to supply the credentials required.</p> 그림 5. POST 메소드로요청하였을때인증이요구됨 POST 메소드로요청은 GET 메소드와마찬가지로인증이요구된다. 이는아파치웹인증설정에서 GET, POST 메소드를제한하겠다고설정하였기때문이다

6 3.2 아파치웹인증우회테스트 HTTP/1.0 및 HTTP/1.1 명세서에서는 GET, POST 이외에도 PUT, HEAD, OPTIONS, 그리고 TRACE 이외에도많은메소드가정의되어있다. 본문서에서는이러한메소드중에서 PUT, OPTIONS를질의하여인증우회를설명한다. telnet zzigregi.com 80 Trying Connected to zzigregi.com. Escape character is '^]'. PUT /secret/ HTTP/1.1 Host: zzigregi.com HTTP/ OK Date: Sat, 28 Jun :19:00 GMT Server: Apache/2.2.8 (Fedora) X-Powered-By: PHP/5.2.4 Content-Length: 8 Connection: close Content-Type: text/html; charset=euckr Hello^^ 그림 5. PUT 메소드로요청하였을때인증없이페이지접근이됨 PUT 메소드본래역할은파일업로드를위해서고안되었다. 그러나이때에업로드가되지않은경우에오작동하여본래의 GET과같은역할로그림 5와같이오동작하게된다. 이를이용하게되면아파치웹인증을우회할수있다

telnet zzigregi.com 80 Trying 168.131.48.89... Connected to zzigregi.com. Escape character is '^]'. OPTIONS /secret/ HTTP/1.1 Host: zzigregi.com HTTP/1.

7 telnet zzigregi.com 80 Trying Connected to zzigregi.com. Escape character is '^]'. OPTIONS /secret/ HTTP/1.1 Host: zzigregi.com HTTP/ OK Date: Sat, 28 Jun :19:10 GMT Server: Apache/2.2.8 (Fedora) X-Powered-By: PHP/5.2.4 Content-Length: 8 Connection: close Content-Type: text/html; charset=euckr Hello^^ 그림 6. OPTIONS 메소드로요청하였을때인증없이페이지접근이됨 OPTIONS 메소드본래역할은허용하는메소드를출력하기위해고안되었다. 그러나최근에이러한핑거프린트정보를이용하여악용하게되자기본적으로본래의역할은차단되어있다. 그러나오작동하여본래의 GET과같은역할로그림 6과같이오동작하게된다. 이를이용하게되면 PUT 메소드를이용하는것과마찬가지로아파치웹인증을우회할수있다. 그림 7. Odysseus등을이용하면메소드변조가가능함 - 6 -

8 위의그림 7과같이웹브라우저프락시를이용하여중간에서메소드를변조하여질의하게되면다음그림 8과같이인증을우회하여아이디및암호인증없이접근할수있다. 그림 8. 웹브라우져로인증을우회하여접근한화면 4. 참고문헌 [1] Neodal's Test Page, [2] Hypertext Transfer Protocol - HTTP/1.1, [3] HTTP Authentication: Basic and Digest Access Authentication, ftp://ftp.isi.edu/in-notes/rfc2617.txt [4] 인증 (Authentication), 권한부여 (Authorization), 접근제어 (Access Control), httpd.apache.org/docs/2.2/howto/auth.html - 7 -

0. 들어가기 전

0. 들어가기 전 컴퓨터네트워크 14 장. 웹 (WWW) (3) - HTTP 1 이번시간의학습목표 HTTP 의요청 / 응답메시지의구조와동작원리이해 2 요청과응답 (1) HTTP (HyperText Transfer Protocol) 웹브라우저는 URL 을이용원하는자원표현 HTTP 메소드 (method) 를이용하여데이터를요청 (GET) 하거나, 회신 (POST) 요청과응답 요청