초보자도 뚫는 웹사이트 '해킹 무방비'

국내 웹사이트를 노리는 해커. PC 모니터에 공격 프로그램을 띄워 탐색버튼을 누르자 SQL 인젝션 공격에 노출된 취약점 정보들이 줄줄이 올라온다.

SQL 인젝션이란 웹사이트 접속시 사용자 로그인 입력값이나 URL 인자값에 특수문자(" , /, Space 등)와 SQL 구문(or, and 등)을 포함시킬 경우, 사용자 인증과정없이 데이터베이스(DB)에 접근할 수 있는 취약점을 노린 해킹 방법. 주로 고객정보를 노린 웹사이트 해킹에 주로 이용되는 방법이다.

이렇게 해서 해커가 내부 DB서버에 접근한 경과시간은 3분도 채 걸리지 않았다. 이후 해커가 띄워놓은 공격자 프로그램에는 데이터베이스 내부의 고객 아이디와 이름, 소속명, 전화번호들이 속속들이 걸러져 나왔다.

중국의 언더그라운드 해커 사이트 www.hacXXX.com'에 올려진 웹사이트 해킹 시연 동영상이다.

↑웹해킹 프로그램.

　

◇국내 웹사이트 50%가 해킹 무방비 상태

지난달 국내 최대 오픈마켓인 옥션이 해킹을 당해 고객정보가 유출되는 사건이 발생한데 이어 최근에는 통신사 및 인터넷기업들의 웹사이트를 줄줄이 해킹해 100만여명의 고객정보를 빼낸 일당이 경찰에 검거됐다.


하지만 이번에 적발된 해킹사고는 '빙산의 일각'에 지나지 않는다는 것이 보안 전문가들의 지적이다.

한국정보보호진흥원에 따르면, 지난해 악성코드를 유포하기 위해 웹사이트를 해킹한 건수만 총 5551건에 달했다. 미처 잡아내지 못한 해킹사례까지 포함하면 피한를 당한 웹사이트수는 훨씬 많을 것으로 추정된다. 이 중 상당수가 해킹시연 동영상과 같은 SQL 인젝션 공격에 당했다.

이들 웹사이트는 주로 악성코드를 유포하는데 악용됐다. 그러나 내부DB서버가 연동된 웹사이트의 경우라면 상황이 다르다. 고객정보 등 DB서버에 쌓여있는 정보를 죄다 빼낼 수 있기 때문.

회원가입이나 로그인을 필요로 하는 사이트라면 대부분 내부 DB서버와 연동돼 있다고 보면 된다.

네트워크를 통해 침투하는 일반 해킹과 달리, 웹사이트 해킹은 로그인 정보 등 단서조차 쉽게 찾아낼 수 없다. 그래서 더 무섭다. 실제 이번에 해킹당한 대형 통신업체들도 경찰의 통보가 있기까지 해킹당한 사실조차 몰랐던 것으로 알려졌다.

◇자동 공격 프로그램 일반화..초보자도 해킹

문제는 최근들어 웹사이트 해킹 기법이 보다 쉬워지고 있다는 것. 중국 언더그라운드 해커그룹 사이트에 접속하면 SQL 인젝션 자동 공격 프로그램들이 널려 있다. 이들 중 일부 프로그램과 사용법은 이미 국내 커뮤니티를 통해서도 손쉽게 얻을 수 있다. 심지어는 그래도 모르는 사용자들을 위해 친절히 해킹과정을 설명해주는 시연 동영상마저 나돌고 있다.

웹보안업체인 닷큐어의 정경구 이사는