2017년 나무위키 XSS 공격 사건 (버전 비교)

* 상위 문서: [[나무위키/역사]]
 * 관련 문서: [[관리자 Great_Blue 권한남용 사건]]
[include(틀:회원수정)]
[include(틀:사건사고)]
[include(틀:나무위키 사건사고/6기 이후)]

[목차]
== 개요 ==
'''[[XSS]] 취약점을 악용한 쿠키 탈취 및 사이트 납치 사건'''

[[2017년]] [[8월 14일]]~[[8월 15일]] 나무위키의 XSS 취약점을 이용해 토론 스레드를 통해 로그인 쿠키를 탈취하고, 토론을 다른 사이트로 링크시킨 사건이다.

== 사건의 진행 ==
토론 연습장[* 현재는 해당 사건 때문에 삭제되었다.]을 시작으로 모 IP 유저가 여러 토론에 악성 자바스크립트를 게시했고, 해당 토론에 접속하기만 해도 자동으로 이상한 문구[* 추후 로그인 쿠키로 밝혀졌다.]를 출력하는 이용자들이 생겨났다.[[https://namu.wiki/thread/Y4EXcp8Yp73ksmCzNxeVj6|한 규정 토론]]에서는 더 나가 [[hitomi.la]]로 자동 리디렉션이 걸려버렸다.

해당 문제들은 블라인드를 통해 해결되었으나 블라인드된 스레의 내용을 확인할 수 있는 운영자들은 여전히 피해를 봤다. 이후 비슷한 상황이 여러 토론에서 재현되었다.

이어 한 토론자가 갑자기 이상한 발언을 하여 1일 차단되었다가 이어 IP로 재접속해 계정이 해킹당했음을 주장하였다. 해당 계정은 관선 관리자에 의해 차단이 해제되었다.

8월 15일 1시 45분경에는 나무위키의 대문에 다음과 같은 말이 삽입되었다. [[https://namu.wiki/w/나무위키:대문?rev=2042|#참조1]] [[https://namu.wiki/diff/나무위키:대문?rev=2042&oldrev=2041|#참조2]]
>나무위키는 백과사전이 아닙니다.
>'''백과사전을 원하시는 분은 가서 좆이나 잡으세요.'''
이는 관리자 aquarius218의 계정으로 수정된 것이었으나, [[http://gall.dcinside.com/board/view/?id=dcwiki&no=399884|이 또한 계정 탈취로 인한 것이었다.]] 또한 [[https://namu.wiki/vote/191|괴투표]][* 관리자 katy0929가 [[https://namu.wiki/vote/190|테스트용으로 파둔 투표]]를 모방한 것으로 보인다.]가 생성되어 공지사항에 올라오기도 했다. [[https://board.namu.wiki/free/547625|그루터기에 올라온 한 글을 보면]] 한 사용자가 소명게시판에 aquarius218의 계정이 해킹당한 듯 하니 차단해달라는 글을 올렸으나 영구차단자 신분이고 [[반달|통상적으로는 받아들여지지 않을 내용]]이라서 삭제된 듯하다.
== 원인  ==
나무위키는  '_cfuid', '[[코사카 호노카|honoka]]', '[[미나미 코토리|kotori]]' 의 세가지 종류의 쿠키를 사용하고 있다. 이 중 'honoka' 와 'kotori' 쿠키는 로그인에 사용되는 것으로 이 쿠키를 탈취할 경우 쿠키 주인의 "로그인된 상태"를 탈취하게 되어 비밀번호를 모르더라도 탈취된 쿠키를 적용하여 다른 사람으로 로그인된 상태가 된다. 사이트 납치도 앞에서 서술한 XSS 취약점을 이용하였다.

최고관리자 derCSyong이 제시한 대처 방법은 다음과 같다.
>파악 끝났습니다.honoka 쿠키 또는 kotori 쿠키를 가져다 쓰는 것처럼 보이는데.
>1. 쿠키만 가져가는 것은 '비밀번호'가 탈취된 것은 아닙니다.
>2. (중요) 로그인된 것으로 인식하기 때문에 내정보에서 '''이메일 변경[* 또한 비밀번호도 변경이 가능하다.]'''이 가능하고, 이렇게 되면 계정을 되찾을 방법이 사라집니다.
>3. honoka 또는 kotori 쿠키가 노출될 경우 "즉시 로그아웃하여" 쿠키를 무효화시켜야 합니다.

== 결과 ==
[[umanle S.R.L]]에서 개입해서 결국 해킹된 유저정보를 되돌려놓고, 해당 취약점을 수정했다.

[[관리자 Great_Blue 권한남용 사건]]과 같은 시기에 일어났기 때문에 이용자들의 혼란이 가중되었다.

== 범인은 누구인가? ==
IP 우회수단을 이용하여 공격을 자행하였을 것이기에 누가 한 것인지는 특정하기 어렵다. 다만 [[관리자 Great_Blue 권한남용 사건]]의 전개 과정에서 위키 갤러리 등지에 본인이 "'''나무위키 서버에 랜섬웨어를 살포하겠다.'''" 는 등 나무위키에 대한 테러 의사를 내비쳤기에 Great_Blue의 짓이라는 의견이 우세하다.[* 해당 테러를 한 ip는 각각 124.62.129.130과 116.127.230.243이다.]

== 보고서 ==
[[더시드위키]]에 [[namu]]가 [[https://theseed.io/w/보고서:2017 나무위키 XSS 공격|이번 XSS 사건에 관한 보고서]]를 올렸다. 관심 있는 사람은 읽어보도록 하자. 요지는 개발자의 부주의로 인한 취약점[* 자동로그인 쿠키인 honoka 쿠키를 이용한 취약점]을 활용한 것이었으며, 현재는 해당 취약점이 해결되었다고 한다.

[[분류:나무위키에서 일어난 사건]]

Loading...