안녕하세요. 고객을 소중히 생각하는 소중넷입니다. 최근 XSS 를 이용한 피싱 공격이 매우 빈번하게 발생하고 있습니다. 이에 소중넷에서는 고객님들의 피해를 최소화 하고자 아래와같이 Microsoft 사에서 제공하는 URLScan Tool을 이용하여 XSS 취약점에 대응할 수 있도록 고객님께 대응 지침을 만들어 배포하고 있습니다. 아래 내용을 확인하셔서 피해가 발생하지 않도록 주의하시기 바랍니다. 권고내용 ☆ 공격유형 [원격] o 웹 서버 접속을 디버깅(분석)하는데 사용되는 TRACE Method의 결함을 도용합니다. 이는 모든 주요 웹서버들에 디폴트로 작동되는 HTTP 프로토콜의 한 부분으로 거의 사용되지는 않습니다 . 다만 특정 공격자는 이러한 취약점을 이용하여 특정 웹사이트(유명 사이트를 모방 : 금융권/포탈/전자상거래사이트)를 개설하여 이 페이지를 방문하는 사용자로부터 전자상거래 사이트, 온라인 은행, 웹기반의 Email시스템들에 접속할 수 있는사용자 패스워드 등을 빼내어 갑니다. 보통 이러한 악의적인 웹페이지는 주로 수많은 사람들을 한꺼번에 공격하기 위해 사람들에게 Email로 배달하여 감염시킵니다. ☆ 영향받는 장비 o 모든 HTTP 서버 모든 버전 o 모든 운영체제 모든 버전 ☆ 대응방법 Microsoft IIS의 경우: o URLScan을 이용하면 이 Method들은 디폴트로 필터링됩니다. URLScan은 http://www.microsoft.com/technet/security/tools/tools/urlscan.asp 에서 구할 수 있습니다. Urlscan은 IIS Lockdown 과 함께 쓰일 수 있는 강력한 보안 툴로, IIS 웹 사이트 관리자들이 불필요한 기능들을 제거하고 서버가 처리해야 할 HTTP 요청들의 종류를 제한할 수 있도록 해 줍니다. 특별한 HTTP 요청들을 차단함으로써,Urlscan보안툴은 잠재적으로 해로운 요청들이 서버에 도달하거나 손상을 입히려는 것으로부터 차단하는 역할을 하게됩니다. Apache 1.3 배포판의 경우: o Apache 모듈인 mod_rewrite의 기능을 사용함으로써 TRACE Method를 Disable 시킬 수 있습니다. 이 모듈은 룰(Rule) 기반으로 재작성 엔진을 제공하여 요청한 URL들을 즉시 재작성해 줍니다. 동적 공유 오브젝트(DSO)로 만들어진 모듈의 기능을 사용하기 위해서는 httpd.conf 파일에서 필요한 'LoadModule' 라인들을 위치시켜야 합니다. 1. [Apache 홈 디렉토리]/conf/httpd.conf 파일을 연다. 2. "LoadModule rewrite_module" 테스트를 포함하는 라인을 찾는다. 만약 그 라인의 시작에서 #이 존재한다면 제거한다. 3. 라인내에 있는[module directory]과 [module name]이 올바른지를 확인한다. [module directory]은 [Apache 홈 디렉토리] 아래에 위치하며 그 이름은 대개 modules' 혹은 'libexec'로 사용된다. [module name]은 대개 'mod_rewrite.so', 'rewrite', 혹은 윈도우즈 플랫폼에서는 'ApacheModuleRewrite.dll'으로 명명된다. LoadModule rewrite_module [module directory]/[module name] 4. 만약 "AddModule rewrite_module.c" 라인이 필요하다면 "AddModule rewrite_module.c" 텍스트를 포함하는 라인을 찾아 라인의 시작에서 #이 있으면 삭제한다. 5. 위에서 설정한 라인들 아래 부분에 다음 세 라인을 추가한다 . RewriteEngine on RewriteCond %{REQUEST_METHOD} ^TRACE RewriteRule .* ? [F] 6. httpd 대몬을 재시작한다: [Apache 홈 디렉토리]/bin/apachctl restart □ 참조Site http://www.kb.cert.org/vuls/id/867593 http://archives.neohapsis.com/archives/bugtraq/2003-01/0230.html http://www.ietf.org/rfc/rfc2616.txt http://support.microsoft.com/kb/326444/KO/ http://www.cgisecurity.com/whitehat-mirror/WH-WhitePaper_XST_ebook.pdf http://www.cgisecurity.com/whitehat-mirror/WhitePaper_screen.pdf http://www.whitehatsec.com/press_releases/WH-PR-20030120.txt