| r15 vs r20 | ||
|---|---|---|
| 1 | [Include(틀:보고서)] | |
| 1 | 2 | [목차] |
| 2 | 3 | == 개요 == |
| 3 | 4 | 간밤에 삽질하게 만든 사건. |
| 4 | ||
| 5 | 5 | == 원인 == |
| 6 | 기능 링크[* 파서 내부적으로 \[\[파일:\~\~\~\~.png\]\] 나 \[\[분류:\~\~\~\~ | |
| 7 | ||
| 6 | 기능 링크[* 파서 내부적으로 \[\[파일:\~\~\~\~.png\]\] 나 \[\[분류:\~\~\~\~\]\] 를 이렇게 부른다.] 를 렌더링하는 과정에서 어떤 사유로 인해 렌더링 되지 못하면서[* 이경우에는 해당 이름을 가진 파일 문서가 존재하지 않아서] fallback 처리 로직이 실행되었는데 해당 로직에 escape를 실수로 빼먹어 버린 것. | |
| 8 | 7 | == 피해의 완화 == |
| 9 | 8 | 기본적으로 보안에 많은 염두를 두고 개발되었기 때문에 여러 가지 보안 대비책이 마련돼 있었다. |
| 10 | ||
| 11 | 9 | === Content Security Policy === |
| 12 | 10 | 나무위키는 CSP가 활성화된 상태였기 때문에 공격자 입장에서는 XHR이나 img tag를 통해 외부 서버로 쿠키 전송 같은 짓거리를 할 수가 없어서, 처음에 취약점 소식을 들었을 땐 별 피해가 없겠거니 싶었다. 그런데 생각보다 좀 창의적인 공격을 했더라. |
| 13 | 11 | 기술 부채로 인해 script-src에 unsafe-inline 이 들어가서 이번 공격을 원천적으로 막을 수 없었던 것은 아쉬웠던 점. |
| 14 | ||
| 15 | 12 | === HttpOnly === |
| 16 | 13 | 기본적으로 세션 쿠키는 HttpOnly 속성이 켜져 있기 때문에 이번 공격에서 로그인한 상태여도 기본적으로 피해가 없었다. |
| 17 | 14 | 하지만 자동 로그인 쿠키[* honoka]에 해당 속성을 켜놓는 걸 깜박하는 바람에 자동 로그인한 사용자에게는 이번 공격의 영향을 받게 되버린 것이다! |
| 18 | 15 | 사실 자동 로그인 쿠키에 HttpOnly 속성만 들어가 있었어도 공격자가 특정 사이트--히토미--를 띄울 수 있었다는 것 외에 전혀 피해가 없을 수 있다는 점 또한 아쉬웠다. |
| 19 | ||
| 20 | 16 | == 공격 코드 == |
| 21 | {{{[[파일:<script>$('textarea').val(document.cookie);$('form.new-thread-form').submit();</script>]]}}}[* jQuery를 잘 모르는 분들을 위하여 설명하자면.. textarea 에 해당 페이지의 쿠키를 작성하라 라는 코드이다. 그 뒤 코드는 new-thread-form 이라는 클래스를 가진 폼을 제출 하라는 의미.JS로는 document.getElementsByTagName("text | |
| 22 | {{{[[파일:<script>location.assign('https://hitomi.la');</script>]]}}}[* 히토미로 날려버리라는 코드이다. | |
| 17 | {{{[[파일:<script>$('textarea').val(document.cookie);$('form.new-thread-form').submit();</script>]]}}}[* jQuery를 잘 모르는 분들을 위하여 설명하자면.. textarea 에 해당 페이지의 쿠키를 작성하라 라는 코드이다. 그 뒤 코드는 new-thread-form 이라는 클래스를 가진 폼을 제출 하라는 의미.JS로는 document.getElementsByTagName("textarea").value 가 되겠다.] | |
| 18 | {{{[[파일:<script>location.assign('https://hitomi.la');</script>]]}}}[* 히토미로 날려버리라는 코드이다.location.href 로도 가능하다.] | |
| 23 | 19 | |
| 24 | 20 | 구현의 귀찮음으로 인해 쓰레드에 레스를 작성하는 부분이 CSRF 토큰이 없었는데 사실 있어도 이 케이스에서는 별 쓸모가 없었다. |
| 25 | 21 | 다행인 점은 CSP로 인해 공격자가 외부 서버 등으로 쿠키를 전송할 수 없어서 토론 레스로 남기게 끔[* 좀 창의적이었다.] 했는데 이 때문에 정확한 피해자 특정이 가능했다. |
| 26 | ||
| 27 | 22 | == 피해 == |
| 28 | 23 | 자동 로그인을 사용 중이고 해당 시간대에 해당 쓰레드에 접속했던 8명의 자동 로그인 토큰 유출[* 이 8명에는 당시 현직 관리자도 포함되어 있었다.] |
| 29 | ||
| 30 | 24 | == 해결 == |
| 31 | 25 | 1. 파서의 해당 루틴 버그 수정됨. |
| 32 | 26 | 1. 자동 로그인 쿠키에 HttpOnly 속성 적용 |
| 33 | 27 | 1. 장기적으로 inline script tag 제거 예정 --과연 언제가 될지?-- |
| 34 | ||
| 35 | 28 | == 결론 == |
| 36 | 29 | 뭐 패스워드나 이런게 유출된게 아니니... |
| 37 | 규모에 비해 생각보다 피해는 적었다. | |
| 38 | [[분류:나무위키]] | |
| 30 | 규모에 비해 생각보다 피해는 적었다. | |
| 31 | [[분류:보고서]][[분류:나무위키]] | |
| 39 | 32 |