코더들이 보안을 정복하다: 셰어 앤 런 시리즈 - CRLF 인젝션

이와 같은 블로그나 기사에서는 문장 부호가 독자의 도움을 받을 수 있습니다.예를 들어 마침표는 독자에게 문장의 끝을 알려주는 반면 쉼표는 목록의 기사를 구분하거나 생각을 구분하는 데 도움이 되도록 일시 중지된 부분을 삽입합니다.잘 작성된 블로그 (예: 이 블로그) 에서는 구두점이 거의 보이지 않습니다. 이는 수년 전에 우리 모두가 익힌 표준 배경 코드의 일부에 불과합니다.

그런데 해커가 이 글에 들어가서 엉뚱한 곳에 이상한 문장 부호를 삽입하면 어떻게 될까요?다음과 같이 말이죠.

심지어 없어도!글씨, 바꾼다고요?할 수 있어요!많이요?더 힘들어.?프로세스!더, 정보!

이것이 바로 CRLF 인젝션 공격에서 발생하는 현상입니다.CRLF 문자는 캐리지 리턴과 라인 피드의 약자로, 개별적으로 또는 함께 사용하여 라인의 끝을 표시합니다.공격자가 기존 애플리케이션에 CR 또는 LF 코드를 삽입할 수 있는 경우 때때로 동작이 변경될 수 있습니다.대부분의 공격에 비해 그 영향을 예측하기는 쉽지 않지만 대상 조직에 미치는 위험도 낮을 수는 없습니다.

이 에피소드에서는 다음을 배우게 됩니다.

• 공격자가 CRLF 주입을 트리거하는 방법
• CRLF 주사가 위험한 이유
• 이 취약점을 해결할 수 있는 기술

공격자는 CRLF 주입을 어떻게 트리거합니까?

CRLF 문자를 기존 코드에 주입하고 특정 결과를 생성하려고 시도하는 것은 불가능하지는 않지만 다소 어렵습니다.공격자는 운영 체제와 대상 시스템의 기타 요소에 따라 서로 다른 CRLF 조합을 사용해야 하기 때문에 더 어려워집니다.예를 들어 최신 Windows 시스템에서는 줄 끝에 CR과 LF가 모두 필요하지만 Linux에서는 LF 코드만 있으면 됩니다.HTTP 요청의 줄 끝에는 항상 정확한 CRLF 코드가 필요합니다.

그러나 CRLF 공격은 구현하기 어렵고 결과를 예측하기가 더 어렵다는 점 외에도 다른 주입 유형 공격과 거의 같은 방식으로 시작됩니다.악의적인 사용자는 이를 허용하는 웹 사이트 또는 애플리케이션의 모든 영역에 데이터를 입력하기만 하고, 일반 입력 데이터 대신 또는 입력 데이터 뒤에 CRLF 코드를 입력하기만 합니다.

예를 들어 공격자는 캐리지 리턴 (%0d) 을 나타내는 ASCII 코드를 입력하고 HTTPS 헤더 끝에 줄 피드용 ASCII (%0a) 를 입력할 수 있습니다.그러면 전체 쿼리는 다음과 같이 표시됩니다.

https://validsite.com/index.php?page=home%0d%0a

데이터가 삭제되거나 필터링되지 않은 경우 위 코드로 인해 대상 애플리케이션 또는 웹 사이트에서 이상한 일이 발생할 수 있습니다.

CRLF 주사가 위험한 이유는 무엇입니까?

CRLF 인젝션 공격은 대부분의 경우보다 정확도가 떨어지지만 적어도 일정 기간에는 상당히 위험할 수 있습니다.로우엔드에서는 한 줄을 더 추가하면 로그 파일이 엉망이 될 수 있으며, 이로 인해 자동 사이버 보안 방어가 실행되어 관리자에게 문제가 발생하지 않았음을 경고할 수 있습니다.하지만 이는 동시에 발생하는 실제 침입으로부터 리소스를 다른 곳으로 돌리는 데 사용될 수 있습니다.

그러나 CRLF 공격은 직접적인 피해를 줄 수도 있습니다.예를 들어 명령을 수락한 다음 특정 파일을 검색하도록 설계된 응용 프로그램인 경우 쿼리에 CRLF 코드를 추가하면 응용 프로그램이 프로세스를 숨긴 채로 두지 않고 화면에 표시하도록 트리거될 수 있습니다. 이는 공격자에게 중요한 정보를 제공할 수 있습니다.

CRLF 주입을 사용하여 행 끝 코드가 유효한 응답을 여러 조각으로 나누는 응답 분할 공격을 만들 수도 있습니다.이를 통해 해커는 추가 코드를 주입하는 데 사용할 수 있는 CRLF 코드 뒤의 헤더를 제어할 수 있습니다.또한 CRLF 공격으로 손상된 부분 다음의 어떤 행에든 공격자가 자신의 코드를 완전히 주입하여 다른 형태의 공격을 촉발할 수 있는 틈을 만드는 데도 사용할 수 있습니다.

CRLF 인젝션 취약성 제거

이 시리즈에서 얻을 수 있는 핵심 메시지가 하나 있다면, 사용자의 의견을 절대 신뢰하지 말라는 것입니다.이 시리즈에서 다룬 대부분의 취약점은 어떤 식으로든 사용자 입력 영역과 관련이 있으며 CRLF 주입 결함도 예외는 아닙니다.

사용자가 입력을 입력할 수 있는 시점에는 애플리케이션이나 서버에서 잘못 해석할 수 있는 무단 코드가 삽입되지 않도록 필터를 적용해야 합니다.CRLF 공격의 경우 HTTP 헤더를 잠그는 것이 특히 중요하지만 GET 및 POST 매개 변수나 쿠키도 잊을 수 없습니다.특히 CRLF 코드가 추가 삽입을 유발하지 못하도록 하는 좋은 방법 중 하나는 사용자의 브라우저로 다시 전송되는 모든 항목에 HTML 인코딩을 적용하는 것입니다.

CRLF 주사에 대한 추가 정보

자세한 내용을 보려면 OWASP가 말하는 내용을 살펴보십시오. CRLF 주사.또한 다음과 같이 새로 발견한 방어 지식을 테스트할 수 있습니다. 무료 데모 사이버 보안 팀이 궁극의 사이버 전사가 될 수 있도록 교육하는 Secure Code Warrior 플랫폼을 활용했습니다.이 취약점을 해결하는 방법과 기타 위협의 도적 갤러리를 자세히 알아보려면 다음 사이트를 방문하십시오. 시큐어 코드 워리어 블로그.