디렉토리리스팅취약점을이용한게임 DB 서버해킹사고 2006. 8. 3 본보고서의전부나일부를인용시반드시 [ 자료 : 한국정보보호진흥원 (KISA)] 를명시하여주시기바랍니다.
1. 개요중국발해킹의표적이온라인게임서버에까지이어지고있다. 특히중국에는현재수많은게임작업장이있으며, 이곳에서는많은중국인들이단순히게임을즐기는것이아니라아이템매매로인한금전적인이득을목적으로한범죄행위를하고있다. 최근정보보호진흥원에게임서버해킹신고건에대한게임사서버관리자를통해피해신고내용을파악한결과, 다음과같았다.. 6월말, 7월초부터바이러스나백도어가많이탐지됨.. 게임서버가계속다운되거나원격제어관리프로그램 (VNC) 이삭제. 누군가서버로들어와서명령어를실행시키는것을목격. 20여개계정의사이버머니가급속하게증가 이번게임서버해킹피해사례를통하여그원인을파악해보고대비책을정리하였다. 2. 피해시스템 o 용도 : 게임서버, 웹서버, DB서버 o 운영체제 : Windows 2003 Server/SP1 또는 Windows 2000 Server/SP4 3. 시스템패해분석 각각의게임서버와웹서버에는원격제어관리프로그램인 RealVNC를설치하여접근제어정책없이운영되고있었으며, 웹서버에는존재하는디렉토리리스팅취약점이존재하였으며, 해커는이를악용하여게임서버와 DB서버에접속가능한계정및패스워드정보를획득한것으로확인되었다. 1) 웹서버내디렉토리리스팅취약점존재 웹서버의공개된취약점을분석한결과, 디렉토리리스팅취약점이존재하였으며, 웹사이트의 TEST폴더아래에 DB.INC, DB_XXXXX.inc 파일내에게임및 DB 서버 IP, 웹및 DB 접속계정과패스워드가고스란히노출되어있었다. - 1 -
( 그림 1 ) 디렉토리리스팅취약점존재웹페이지화면 다음은 DB 환경설정파일과접속할서버와계정및패스워드내역이다. ( 그림 2 ) 웹에노출된 DB 환경설정파일 - 2 -
( 그림 3 ) 웹에노출된게임서버, 계정, 패스워드정보 2) 게임서버침입후행위 게임서버내에는원격제어프로그램인 RealVNC를설치하여운영하고있었지만해킹당한사실을인지하기전까지는접근제어정책없이운영하고있다가최근최신버전으로설치후접근제어정책을적용하였다. 이것으로미루어보아해커가인증우회취약점을이용하여게임서버에침입한것으로추정되었다. 해커는게임서버를침입한후중국사이트에서 '80.exe', 'adm.exe', 'windows.exe' 파일을다운로드받았다. 위파일들은모두실행압축되어있었으며, 압축을해제한결과 'Hackerdefender100' 라는루트킷과 'Radmin' 원격제어관리프로그램, 우회접속용 PROXY 프로그램 (CCProxy) 들로확인되었다. - 3 -
( 그림 4 ) 최근실행한명령어확인 다음은해커가서버에침입후접속하여해킹툴을다운로드받았던중국사이트의홈페이지이다. ( 그림 5 ) 중국사이트홈페이지 3) 게임 DB 서버분석 외부의게임이나웹서버 IP에서 DB 접속계정과패스워드를알면내부에있는 DB 서버에접속이가능하였다. 계정과패스워드는웹디렉토리리스팅취약점을악용하여쉽게획득이가능하였으리라생각된다. 게임 DB 서버테이블중 t_jiaozhu 라는이름의테이블이 2006-6-19 오전 5:32 경에생성되어있었으며, 테이블명으로추측하건데중국해커의의한것으로보여진다. - 4 -
( 그림 6 ) DB 내 t_jiaozhu 라는테이블이생성된화면 ( 그림 7 ) DB 내 t_jiaozhu 의테이블속성 4) 게임플레잉로그분석결과 또한, 사이버머니가급속하게증가된 20여개불법계정의게임접속로그를분석한결과, 모두중국 IP로확인되었다. - 5 -
[ 표 1 ] 불법계정의게임접속내역 UserId Password Logintime IPaddress 467XXX XXX 2006-07-07 오전 12:47:27 218.62.XXX.XXX 467XXX XXX 2006-07-07 오전 1:32:41 218.62.XXX.XXX 49XXX XXX 2006-07-06 오후 7:21:07 219.148.XXX.XXX 100XXX5 XXX 2006-07-06 오후 11:34:53 219.148.XXX.XXX 100XXX5 XXX 2006-07-06 오후 11:35:32 219.148.XXX.XXX cdpxxx0 XXX 2006-07-10 오후 6:49:36 219.148.XXX.XXX cdrxxx1 XXX 2006-07-10 오후 6:59:50 219.148.XXX.XXX cdsxxx3 XXX 2006-07-10 오후 7:00:28 219.148.XXX.XXX cds3xxx알 XXX 2006-07-10 오후 7:01:39 219.148.XXX.XXX helxxx9 XXX 2006-07-10 오후 7:02:20 219.148.XXX.XXX helxxx6 XXX 2006-07-10 오후 7:03:54 219.148.XXX.XXX helxxx26 XXX 2006-07-10 오후 7:05:02 219.148.XXX.XXX helxxx41 XXX 2006-07-10 오후 7:05:55 219.148.XXX.XXX cdxxxp XXX 2006-07-10 오후 7:07:12 219.148.XXX.XXX cdxxx XXX 2006-07-10 오후 7:07:53 219.148.XXX.XXX cecxxx86 XXX 2006-07-10 오후 7:09:21 219.148.XXX.XXX cexxx38 XXX 2006-07-10 오후 7:09:47 219.148.XXX.XXX dxxx XXX 2006-07-13 오후 1:17:55 222.217.XXX.XXX 4. 결론및보안대책 해킹시관리자계정과패스워드를알기위해서는스니퍼나키로깅프로그램, 패스워드크래킹툴을사용하면되지만, 이번사례에서해커는웹서버내에존재하였던디렉토리리스팅취약점을이용하여손쉽게계정정보를알수있었을것이다. 이정보를악용하여게임서버와관련 DB 서버에접속하여비정상적인테이블을만들어진것을확인하였다. 이와같이서버해킹에대한재발방지를위해서는시스템에존재하고있는취약점을제거하여야하며, 아래와같은대비책들이필요하다. o 게임서버와웹서버에는원격접속관리프로그램인 RealVNC 을사용하고있었지만접근제한없이사용하고있어누구나서버에접근할수있는위험이있었다. 이에서버에원격접속가능한 IP 대역또는 IP 만을미리지정하는접근제어정책을사용하고관련프로그램에대한보안취약점을최신패치후사용하도록한다. 다운로드 URL - http://www.realvnc.com/upgrade.html o 홈페이지의속성을설정하는 웹사이트등록정보 에특정디렉토리에대하여 디렉토리 검색항목이체크되어있으면인터넷사용자에게모든디렉토리및파일목록이보여지게되고, 파일의열람및저장도가능하게되어 DB 설정관련자료가유출되었다. 이에웹서버에존재하는디렉토리리스팅취약점을다음과같이제거한다. - 제어판 관리도구 인터넷서비스관리자혹은인터넷정보서비스메뉴에서기본웹사이트의마우스오른쪽클릭, 속성 부분에서 기본웹사이트등록정보 확인한다. - 기본웹사이트등록정보 에서 홈디렉토리 부분을클릭하면 디렉토리검색 (B) 이란옵션체크를해지후적용버튼을누른다. - 6 -
o 네트워크단에침입차단시스템 (F/W) 이나침입탐지시스템 (IDS) 을설치하여허가되지않은 IP 와비정상적인공격에대응할수있도록한다. o 또한, 인터넷에노출된서버관리자및 DB 접속계정에대한주기적으로변경하는것이필요하다. - 7 -