2017년 나무위키 XSS 공격 사건

에 마지막으로 수정됐습니다.

파일:상위문서 틀 아이콘.png   상위 문서: 나무위키/역사
주의. 사건·사고 관련 내용을 설명합니다.

이 문서는 실제로 일어난 사건·사고의 자세한 내용과 설명을 포함합니다. 이 틀을 적용하시려면 적용한 문서의 최하단에 해당 사건·사고에 맞는 분류도 함께 달아 주시기 바랍니다. 분류 목록은 분류:사건사고 문서에서 확인하실 수 있습니다.

인명 피해가 발생한 사건사고 문서는 유머성 서술, 비하하는 표현의 사용이 제한되며, 사실관계를 작성할 때에는 출처를 반드시 표시해야 합니다.

1. 개요2. 사건의 진행3. 원인 4. 결과5. 범인은 누구인가?6. 보고서

1. 개요[편집]

XSS 취약점을 악용한 쿠키 탈취 및 사이트 납치 사건

2017년 8월 14일~8월 15일 나무위키의 XSS 취약점을 이용해 토론 스레드를 통해 로그인 쿠키를 탈취하고, 토론을 다른 사이트로 링크시킨 사건이다.

2. 사건의 진행[편집]

토론 연습장[1]을 시작으로 모 IP 유저가 여러 토론에 악성 자바스크립트를 게시했고, 해당 토론에 접속하기만 해도 자동으로 이상한 문구[2]를 출력하는 이용자들이 생겨났다.한 규정 토론에서는 더 나가 hitomi.la로 자동 리디렉션이 걸려버렸다.

해당 문제들은 블라인드를 통해 해결되었으나 블라인드된 스레의 내용을 확인할 수 있는 운영자들은 여전히 피해를 봤다. 이후 비슷한 상황이 여러 토론에서 재현되었다.

이어 한 토론자가 갑자기 이상한 발언을 하여 1일 차단되었다가 이어 IP로 재접속해 계정이 해킹당했음을 주장하였다. 해당 계정은 관선 관리자에 의해 차단이 해제되었다.

8월 15일 1시 45분경에는 나무위키의 대문에 다음과 같은 말이 삽입되었다. #참조1 #참조2
나무위키는 백과사전이 아닙니다.
백과사전을 원하시는 분은 가서 좆이나 잡으세요.
이는 관리자 aquarius218의 계정으로 수정된 것이었으나, 이 또한 계정 탈취로 인한 것이었다. 또한 괴투표[3]가 생성되어 공지사항에 올라오기도 했다. 그루터기에 올라온 한 글을 보면 한 사용자가 소명게시판에 aquarius218의 계정이 해킹당한 듯 하니 차단해달라는 글을 올렸으나 영구차단자 신분이고 통상적으로는 받아들여지지 않을 내용이라서 삭제된 듯하다.

3. 원인 [편집]

나무위키는 '_cfuid', 'honoka', 'kotori' 의 세가지 종류의 쿠키를 사용하고 있다. 이 중 'honoka' 와 'kotori' 쿠키는 로그인에 사용되는 것으로 이 쿠키를 탈취할 경우 쿠키 주인의 "로그인된 상태"를 탈취하게 되어 비밀번호를 모르더라도 탈취된 쿠키를 적용하여 다른 사람으로 로그인된 상태가 된다. 사이트 납치도 앞에서 서술한 XSS 취약점을 이용하였다.

최고관리자 derCSyong이 제시한 대처 방법은 다음과 같다.
파악 끝났습니다.honoka 쿠키 또는 kotori 쿠키를 가져다 쓰는 것처럼 보이는데.
1. 쿠키만 가져가는 것은 '비밀번호'가 탈취된 것은 아닙니다.
2. (중요) 로그인된 것으로 인식하기 때문에 내정보에서 이메일 변경[4]이 가능하고, 이렇게 되면 계정을 되찾을 방법이 사라집니다.
3. honoka 또는 kotori 쿠키가 노출될 경우 "즉시 로그아웃하여" 쿠키를 무효화시켜야 합니다.

4. 결과[편집]

umanle S.R.L에서 개입해서 결국 해킹된 유저정보를 되돌려놓고, 해당 취약점을 수정했다.

나무위키 관리자 Great_Blue 권한남용 사건과 같은 시기에 일어났기 때문에 이용자들의 혼란이 가중되었다.

이후 나무위키에서는 2018년 9월 16일부터 해당 문서를 볼수 없게 관리자 전용으로 돌려놨다.

5. 범인은 누구인가?[편집]

IP 우회수단을 이용하여 공격을 자행하였을 것이기에 누가 한 것인지는 특정하기 어렵다. 다만 나무위키 관리자 Great_Blue 권한남용 사건의 전개 과정에서 위키 갤러리 등지에 본인이 "나무위키 서버에 랜섬웨어를 살포하겠다." 는 등 나무위키에 대한 테러 의사를 내비쳤기에 Great_Blue의 짓이라는 의견이 우세하다.

6. 보고서[편집]

더시드위키namu이번 XSS 사건에 관한 보고서를 올렸다. 관심 있는 사람은 읽어보도록 하자. 요지는 개발자의 부주의로 인한 취약점[5]을 활용한 것이었으며, 현재는 해당 취약점이 해결되었다고.

[1] 현재는 해당 사건 때문에 삭제되었다.[2] 추후 로그인 쿠키로 밝혀졌다.[3] 관리자 katy0929가 테스트용으로 파둔 투표를 모방한 것으로 보인다.[4] 또한 비밀번호도 변경이 가능하다.[5] 자동로그인 쿠키인 honoka 쿠키를 이용한 취약점