웹사이트에 파일 업로드 취약점이 있다고 의심되시나요? 해커가 이를 악용해 사이트를 해킹할까봐 걱정되시나요?
걱정할 필요가 없다고 말씀드리고 싶지만, 솔직히 말해 파일 업로드 취약점은 심각한 보안 문제입니다.
해커가 여러분의 사이트에서 이 취약점을 발견하면 사이트를 장악하고 완전한 통제권을 넘겨받을 수 있습니다. 페이지를 변조하고, 파일을 삭제하고, 데이터를 탈취하고, 심지어 고객에게 스팸 메일까지 발송하는 등 심각한 피해를 입힐 수 있습니다. 주요 워드프레스 취약점 목록은 관련 자료를 통해 확인하실 수 있습니다.
더욱이 문제는 눈덩이처럼 불어나 더 큰 보안 이슈로 번질 수 있습니다. 구글이 해킹 피해를 감지하면 사용자 보호를 위해 즉시 해당 웹사이트를 블랙리스트에 등록하고, 웹 호스팅 업체 역시 계정을 정지시킬 수 있습니다.
하지만 걱정하지 마세요. 올바른 조치를 통해 파일 업로드 취약점을 수정하고 예방하면 이러한 모든 상황을 막을 수 있습니다.
이 글에서는 파일 업로드 취약점이 무엇인지 설명하고, 여러분의 사이트를 효과적으로 보호하는 방법을 알려드립니다. 해커의 워드프레스 해킹 기법도 함께 살펴보세요.
파일 업로드 취약점이란 무엇인가?
많은 워드프레스 웹사이트는 다양한 목적으로 방문자에게 파일 업로드 기능을 제공합니다. 예를 들어 채용 포털 사이트에서는 이력서와 자격증을 업로드하게 하고, 은행 웹사이트는 신분증, 주소 증명서, 소득 증명서 등의 서류를 받습니다. 파일이 사이트에 업로드되면 워드프레스는 해당 파일을 검사한 후 'Uploads'라는 특정 폴더에 저장합니다.
일반적으로 업로드되는 문서나 파일은 별도의 오류 없이는 어떠한 명령도 실행할 수 없는 형식입니다.
이미지의 경우 png와 jpeg 형식이 허용되고, 문서는 PDF와 Docx, 동영상은 mp3와 mp4 확장자가 해당됩니다. 이러한 형식은 단순히 파일을 열어볼 수만 있게 해줍니다.
앞서 말했듯이 이런 형식은 실행 불가능(non-executable)하기 때문에, 파일 내부에 악성 코드가 숨어 있어도 사이트에서 명령을 실행할 수 없습니다.
보통 웹사이트의 업로드 필드는 실행 불가능한 파일만 받아들입니다. 그러나 이 기능에 오작동이 생기면 제한 없는 파일 업로드를 허용하기 시작합니다.
해커는 바로 이 틈을 노립니다. PHP 파일, JavaScript, exe 같은 실행 가능한 코드를 담은 파일을 업로드하여 사이트 전반에 혼란을 일으키는 명령을 실행할 수 있습니다. SQL 인젝션 공격 방지 방법도 참고하시면 좋습니다.
바로 이것이 파일 업로드 취약점입니다.
다음 섹션에서 이러한 취약점으로부터 웹사이트를 보호하는 방법을 알아보겠습니다.
다행히 이러한 취약점으로부터 사이트를 지키기 위한 대책들이 마련되어 있습니다. 다만 취약점이 작동하는 원리를 이해하는 것이 중요합니다. 따라서 보안 대책을 논의하기 전에, 먼저 파일 업로드 취약점의 기본 개념을 좀 더 깊이 살펴보겠습니다.
파일 업로드 취약점의 유형
앞서 파일 업로드 취약점의 작동 원리를 설명했습니다. 워드프레스 웹사이트에는 파일을 업로드하는 필드가 있고, 특정 유형의 실행 불가능한 파일만 업로드할 수 있습니다. 그러나 업로드 필드에 취약점으로 인한 오작동이 발생하면 해커가 악성 실행 파일을 업로드할 수 있습니다.
취약한 업로드 필드가 파일을 받아들이는 방식에는 두 가지가 있습니다.
1. 로컬 파일 업로드 취약점(Local File Upload Vulnerability): 파일을 웹사이트에 직접 업로드하는 경우입니다. 이 경우 해커는 악성 파일을 곧바로 업로드할 수 있습니다.
2. 원격 업로드 취약점(Remote Upload Vulnerability): 일부 업로드 필드는 직접 업로드를 허용하지 않고, Google Drive나 Dropbox 같은 클라우드 서비스 등 외부 사이트에 파일을 올린 후 URL 형태로 위치를 공유하도록 요구합니다. 웹사이트는 해당 위치에서 파일을 가져오는데, 이 간접 업로드 방식을 통해 공격자가 악성 파일을 업로드할 수 있습니다.
원격 업로드 취약점의 대표적인 사례로 TimThumb 취약점을 꼽을 수 있습니다. TimThumb는 인기 있는 이미지 리사이징 플러그인으로, 이 취약점으로 수많은 워드프레스 사이트가 피해를 입었습니다. 사용자가 imgur.com, flickr.com 같은 이미지 호스팅 사이트에서 이미지를 가져올 수 있게 해주었지만, 보안 장치가 미흡하여 해커들이 이미지 대신 악성 파일을 업로드할 수 있었습니다. 파일 이름이나 크기는 달라도 내용은 매우 위험할 수 있습니다.
해커는 파일 업로드 취약점을 어떻게 악용하는가?
웹사이트 해킹 과정은 복잡하고 기술적입니다. 최대한 단순화하여 누구나 이해하기 쉽게 단계별로 정리했습니다.
→ 해커들은 언제나 웹사이트에 침입할 수 있는 취약점을 찾고 있습니다.
→ 워드프레스 사이트에서는 플러그인과 테마에서 취약점이 발견되는 경우가 흔합니다. 플러그인과 테마 개발자들은 이러한 취약점을 알게 되면 빠르게 업데이트를 배포합니다.
→ 업데이트에는 수정 사항이 담겨 있어, 해커는 이를 통해 특정 플러그인이나 테마에 악용 가능한 취약점이 있다는 사실을 파악합니다.
사이트를 업데이트하지 않으면 어떻게 될까?
→ 해커들은 단일 웹사이트만 공략하는 경우가 드뭅니다. 취약한 플러그인을 사용하는 수천 개의 웹사이트를 인터넷에서 샅샅이 찾아냅니다. 많은 사이트 운영자는 워드프레스 업데이트의 중요성을 모른 채 업데이트를 미룹니다. 그 결과 취약한 구버전 플러그인을 계속 사용하게 됩니다.
→ 예를 들어 블로그에 댓글 기능을 추가하기 위해 어떤 플러그인을 사용한다고 가정해 봅시다. 개발사가 최근 파일 업로드 취약점을 발견하고 패치를 담은 업데이트를 배포했지만, 어떤 이유로든 업데이트를 하지 못했다면 취약점은 그대로 남습니다. 해커는 해당 사이트가 구버전 댓글 플러그인을 사용한다는 사실을 알아내고, 파일 업로드 취약점을 악용(침투 테스트)하여 악성 파일을 업로드합니다. 이 파일에는 악성 활동을 시작할 수 있는 스크립트가 담겨 있습니다.
→ 감염된 파일이 웹사이트 안에 들어오면 해커는 명령을 실행하여 데이터베이스 로그인 정보 같은 민감한 데이터를 탈취합니다. 나아가 이 정보로 사이트에 로그인해 완전한 통제권을 장악하며 공격을 확대할 수 있습니다.
파일 업로드 취약점으로부터 웹사이트를 보호하는 방법
앞서 언급했듯이 파일 업로드 취약점은 웹사이트에 치명적인 기술적 피해를 줄 수 있습니다. 그러나 아래의 조치들을 시행하면 취약점을 해결하고 해커로부터 사이트를 보호할 수 있습니다.
다음은 즉시 시행할 것을 권장하는 핵심 웹사이트 보안 조치입니다:
1. 워드프레스 보안 플러그인 설치
사이트에 워드프레스 보안 플러그인을 설치하는 것이 좋습니다. 앞서 언급했듯이 취약점은 언제든 나타날 수 있고, 어떤 이유로든 플러그인을 업데이트하지 못하면 해커가 이를 악용해 사이트를 해킹할 것입니다.
MalCare 같은 보안 플러그인 사용을 권장합니다. 스캐너와 클리너 등 다양한 기능을 갖추고 있으며, 스캐너는 고급 탐지 기술로 숨겨진 멀웨어를 찾아내고, 클리너는 자동화되어 몇 번의 클릭만으로 웹사이트를 정화할 수 있습니다.
플러그인의 취약점 스캐너는 매일 웹사이트를 스캔하여 해킹 여부를 즉시 알려줍니다. 또한 해커가 피해를 입히기 전에 1분 이내에 사이트를 정화하도록 도와줍니다.
더욱이 보안 플러그인은 워드프레스 방화벽을 통해 웹사이트를 보호합니다.
워드프레스 방화벽은 나만의 웹 보안 슈퍼히어로처럼 악성 트래픽이 웹사이트에 접근하는 것을 차단합니다. 사이트로 들어오는 모든 트래픽을 검사하여 정상 트래픽은 통과시키고, 악성 트래픽은 즉시 차단합니다.
즉, 웹사이트에 취약점이 있더라도 방화벽이 접근 자체를 막기 때문에 해커는 이를 악용할 수 없습니다.
2. 웹사이트를 항상 최신 상태로 유지
앞서 설명했듯이 개발자가 플러그인이나 테마에서 파일 업로드 취약점을 발견하면 이를 수정한 업데이트 버전을 배포합니다. 새 버전에는 웹 애플리케이션 보안 패치가 포함되어 있으며, 이 버전으로 업데이트하면 사이트의 파일 업로드 취약점이 해결됩니다.
물론 업데이트는 때때로 번거로울 수 있습니다. 업데이트가 자주 배포되고, 때로는 사이트가 깨지거나 오작동을 일으킬 수도 있습니다. 매주 시간을 따로 정해 스테이징 사이트를 활용해 안전하게 업데이트하는 것을 권장합니다.
MalCare 같은 플러그인으로 스테이징 사이트를 구축해 실제 사이트에 적용하기 전에 업데이트를 테스트할 수 있습니다. 여러 웹사이트를 운영하는 경우 하나의 통합 대시보드에서 모든 사이트를 관리하고 업데이트할 수 있어 업데이트가 더 쉽고 빠르며 번거롭지 않습니다.
3. 평판 좋은 마켓플레이스에서 플러그인·테마 구매
취약점은 저품질 테마와 플러그인에서 자주 발생합니다. 따라서 품질 좋은 테마와 플러그인만 사용하는 것이 좋습니다. 소프트웨어 품질을 가늠하는 좋은 방법은 Themeforest, CodeCanyon, Envato, Mojo Marketplace 같은 평판 좋은 마켓플레이스에서 구매하는 것입니다.
평판 좋은 마켓플레이스는 개발자가 따라야 할 엄격한 정책과 보안 프로토콜을 갖추고 있습니다. 따라서 이러한 플랫폼에서 판매되는 제품은 세심하게 제작되고 꾸준히 관리됩니다.
4. 가능하다면 파일 업로드 기능 폐지
웹사이트의 파일 업로드 기능이 반드시 필요하지 않다면 비활성화하는 것을 고려해 보세요.
채용 사이트 같은 경우 이 기능을 없앨 수 없겠지만, 파일 업로드 기능이 꼭 필요하지 않은 사이트라면 폐지를 강력히 권장합니다.
파일 업로드 기능을 플러그인으로 운영 중이라면 해당 플러그인을 비활성화하고 삭제하는 것이 좋습니다. 이렇게 하면 파일 업로드 취약점의 가능성 자체를 없앨 수 있습니다.
5. 업로드 파일 저장 위치 변경 (주의 필요)
워드프레스 웹사이트에 업로드된 모든 파일은 Uploads 폴더에 저장됩니다. 이 폴더는 워드프레스 사이트의 핵심 파일이 모두 담긴 public_html 디렉터리 안에 위치합니다.
해커가 악성 파일을 Uploads 폴더에 업로드하면 public_html 디렉터리, 즉 웹사이트 전체에 접근할 수 있게 됩니다.
Uploads 폴더를 이 디렉터리 밖으로 옮기면 웹사이트 장악 난이도가 크게 올라갑니다.
경고: Uploads 폴더 이동에는 전문 지식이 필요합니다. 워드프레스의 내부 구조에 익숙하지 않다면 이 단계는 건너뛰는 것이 좋습니다. 워드프레스에 대한 지식이 있더라도 변경 전에 반드시 전체 웹사이트 백업을 진행하세요. 사소한 실수 하나로 웹사이트가 손상될 수 있습니다.
이것이 파일 업로드 취약점 예방 조치입니다. 이러한 조치들을 취하면 사이트가 파일 업로드 취약점으로부터 보호됩니다. 워드프레스 사이트의 파일 업로드 취약점 예방 가이드는 여기까지입니다.
마무리
워드프레스 사이트를 파일 업로드 취약점으로부터 보호하는 것은 해킹 공격으로부터 웹사이트를 안전하게 지키기 위한 첫걸음입니다.
그러나 해커들은 사이트에 침입하려는 다양한 다른 방법들도 사용합니다. 웹사이트에 대한 모든 종류의 해킹 시도를 막기 위해 다음 사항들을 권장합니다.
1. MalCare 같은 보안 플러그인을 항상 사이트에 설치하세요. 보안 스캐너가 매일 사이트를 스캔하고 모니터링하며, 방화벽이 해커의 접근을 차단합니다.
2. 워드프레스 사이트를 정기적으로 업데이트하세요. 워드프레스 코어와 설치된 모든 플러그인, 테마를 항상 최신 버전으로 유지하는 것이 중요합니다.
3. 마지막으로 워드프레스 사이트를 하드닝(hardening)하세요. 사이트 강화 조치는 해커가 침입하기 어렵도록 만들어 줍니다.
이러한 조치들을 실천하여 사이트가 안전하다는 안도감을 느끼시기 바랍니다.
지금 바로 MalCare 보안 플러그인을 경험해 보세요!