최신 정보

보안 / 해킹 [긴급] 대규모 SQL 인젝션 공격으로 국내 웹사이트 무작위 해킹

2019.05.26 11:14

달마가동쪽으로유턴한까닭은? 조회:2257 추천:1

특정 게시판 취약점 악용해 공격...DB 탈취 가능성도 배제 못해
SQL 인젝션 공격 예방 위해선 모든 입력값에 대한 적절한 검증절차 설계·구현

최근 특정 게시판 취약점을 악용한 대규모 SQL 인젝션(Injection) 공격이 발생해 국내 수많은 웹사이트가 피해를 입은 것으로 드러났다. 더욱이 현재까지 공격이 진행 중인 것으로 알려졌다.


▲SQL 인젝션 공격을 받은 홈페이지 게시판 화면[이미지=제로써트]

위협정보 공유 서비스 제로써트(ZeroCERT)에 따르면 평생교육원, 학교, 학회, 연합회, 학원 홈페이지 등 수많은 불특정 웹사이트가 공격을 받은 것으로 확인됐다.

현재 해커들은 특정 게시판 취약점을 악용해 특정 홈페이지의 자유게시판, Q&A 코너 등의 게시판에 주로 ‘문의 드립니다’, ‘문의드려요’, ‘문의’ 등의 제목을 사용해 공격을 감행하고 있다.

침해당한 홈페이지는 u6.gg, kks.me, uee.me 등 총 18개의 단축 URL이 삽입되어 있으며 국내 특정 회사의 호스팅 서버들이 정보 수집용으로 악용되고 있다는 게 제로써트 측의 설명이다.

더욱이 침해당한 홈페이지에 삽입된 단축 URL들을 구글로 검색할 경우 엄청난 숫자가 검색되는 걸로 보아 피해 웹사이트가 매우 많을 것이라는 우려가 커지고 있다. 특히, 침해당한 웹사이트의 DB까지 탈취됐을 가능성도 배제할 수 없어 2차 피해 가능성까지 제기되고 있다.

SQL 인젝션 취약점은 데이터베이스와 연동된 웹 어플리케이션에서 입력된 데이터에 대한 유효성 검증을 하지 않아 발생하는 취약점으로, 취약한 웹 어플리케이션은 사용자로부터 입력된 값을 필터링 과정 없이 넘겨받아 동적 쿼리(Dynamic Query)를 생성한다. 이로 인해 개발자가 의도하지 않은 쿼리가 생성되어 정보 유출에 악용될 수 있고, 자칫하면 DB까지 통째로 탈취당할 수 있어 매우 심각한 취약점이라고 할 수 있다.

이와 관련 제로써트 측은 “홈페이지 관리자들은 추가 악성코드 유포 등 피해가 발생할 수 있어 웹사이트 침해 유무와 함께 게시판 취약점 여부 등을 반드시 확인해야 한다”고 설명했다.

이러한 SQL 인젝션 공격을 예방하기 위해서는 개발단계에서부터 모든 입력값에 대한 적절한 검증절차를 설계하고 구현해야 한다는 지적이다. 한국인터넷진흥원 인터넷침해대응센터(KrCERT)에서도 SQL 인젝션 공격 대응방안으로 △데이터베이스와의 연동 부분에서는 동적 SQL을 사용하지 말고 저장 프로시저를 사용할 것 △개발단계에서부터 모든 입력값에 적절한 검증절차를 설계하고 구현할 것 △데이터베이스의 에러 메시지를 사용자에게 보여주지 않도록 차단할 것 △웹 방화벽을 활용할 것 △웹 보안 취약점에 대해 주기적으로 점검할 것 등을 제시했다.
번호 제목 글쓴이 조회 등록일
[공지] 최신정보 이용 안내 gooddew - -
6482 보안 / 해킹| Apple 최초 신속 보안 업데이트 발표 [1] asklee 1668 05-03
6481 서버 / IT| 리눅스 OS - Fedora 38 배포 VᴇɴᴜꜱGɪ 1265 04-21
6480 서버 / IT| 리눅스 OS - Ubuntu 20.04.6 LTS / 23.04 배포 VᴇɴᴜꜱGɪ 1056 04-21
6479 모 바 일| 유니콘 Pro iOS 출시로 20% 사전판매 할인 [1] huny 1780 04-19
6478 윈도우 / MS| Windows 11에서는 곧 마우스오버 시 검색을 열 수 있게 됩... VᴇɴᴜꜱGɪ 1977 04-15
6477 윈도우 / MS| Microsoft가 Windows 11, Windows 10에서 버그가 많은 Secu... VᴇɴᴜꜱGɪ 1293 04-15
6476 윈도우 / MS| Windows 11 개발자 빌드 23435는 새로운 파일 탐색기 "... VᴇɴᴜꜱGɪ 703 04-15
6475 윈도우 / MS| OneDrive 앱 업데이트 및 한글표시 수정되었네요. [1] 타천사둘리 982 04-13
6474 윈도우 / MS| OneDrive MS Store 앱 업데이트 후 접속에러 [2] 타천사둘리 699 04-13
6473 윈도우 / MS| Windows 10, 21H2(빌드 19044.xxxx)는 6월 13일에 지원 종... [1] 엄마갯돈 1830 04-10
6472 윈도우 / MS| Windows 11 인사이더 카나리아 빌드 25336에는 몇 가지 작... VᴇɴᴜꜱGɪ 1124 04-08
6471 윈도우 / MS| Windows 11 베타 빌드 22624.1546(KB5025310)에 인쇄 화면 ... VᴇɴᴜꜱGɪ 432 04-08
6470 윈도우 / MS| Windows 11 베타 빌드 22624.1537(KB5022910): CSV BitLock... VᴇɴᴜꜱGɪ 1652 04-01
6469 소프트웨어| 주간 업데이트에 동영상 및 이미지 검색 등을 추가한 Bing ... VᴇɴᴜꜱGɪ 818 04-01
6468 기 타| ChatGPT의 지능은 0이지만 유용성에서는 혁명적이라고 AI ... VᴇɴᴜꜱGɪ 1123 04-01
6467 보안 / 해킹| "피해 더 커지기 전에…" 대국민 권고 나선 국정원 [13] asklee 4969 03-30
6466 업체 소식| Apple iOS 16.4 / iPadOS 16.4 / watchOS 9.4 / tvOS 16.4 ... [1] asklee 1237 03-28
6465 윈도우 / MS| Microsoft, 파일 탐색기 성능을 향상시키는 Windows 11 Can... VᴇɴᴜꜱGɪ 2913 03-24
6464 윈도우 / MS| Windows 11 베타 빌드 22624.1470은 시스템 시계에서 초를 ... [1] VᴇɴᴜꜱGɪ 922 03-24
6463 윈도우 / MS| Microsoft는 클라우드 PC 옵션을 추가하기 시작하면서 Wind... VᴇɴᴜꜱGɪ 476 03-24
XE1.11.6 Layout1.4.8