자바스크립트-해킹에 사용될 위험

웹 사이트 개발시 가장 널리 사용되는 스크립트 언어인 ‘자바스크립트(JavaScript)’가 컴퓨터 시스템 공격에 이용될 수 있다는 주장이 제기됐다. C넷은 해커들이 악성 자바스크립트를 웹 페이지에 끼워넣을 수 있으며, 이런 웹 페이지를 웹 브라우저에서 열면 경고 없이 악성 자바스크립트가 가동되게 된다고 밝혔다. 이 보도는 전문가들이 최근 가정과 기업의 네트워크를 파악하고 네트워크에 연결된 서버나 프린터 및 라우터 등의 장비를 공격하는 데 자바스크립트를 사용하는 방법을 찾아냈다고 최근 보도했다. 자바스크립트가 공격에 이용되는 까닭은 웹 페이지 작성에 널리 이용되고 있기 때문으로 풀이된다. 특히 해커들이 이를 이용할 경우 방화벽을 설치한 기업들의 네트워크까지 스캔할 수 있는 것으로 알려져 우려감을 더하고 있다고 이 보도는 전했다.

스캐닝 대상은 웹 페이지를 제공하는 서버 컴퓨터일 수도 있지만, 라우터·프린터·IP 전화기나 웹 인터페이스를 가진 애플리케이션 및 네트워크 연결 기기도 포함될 수 있다. 자바스크립트는 지금부터 10여년 전 넷스케이프 커뮤니케이션스가 개발, 1996년 2월 자사의 웹 브라우저 ‘넷스케이프 내비게이터 2.0’에 처음 내장한 스크립트 프로그래밍 언어다. 현재 웹 페이지에서 문자열이 흘러 지나가게 하거나 웹 페이지의 색깔을 바꾸는 것 등 웹 브라우저로 구현되는 많은 기능에 이용되고 있다. 자바스크립트는 최근 몇 년 동안 ‘에이잭스(AJAX: Asynchronous JavaScript and XML)’라는 프로그래밍 기술에 힘입어 더욱 높은 인기를 누리고 있다. ◇방화벽으로 보호받는 기업 네트워크도 공격 가능=웹 보안 전문업체 ‘SPI 다이내믹스(Dynamics)’의 빌리 호프먼 선임 엔지니어는 “우리는 네트워크를 스캔하는 기술, 웹이 가능한 모든 기기를 찾아 그런 기기들에 대해 공격이나 명령을 가하는 지문(fingerprint)을 발견했다”며 “이 기술은 방화벽으로 보호받는 기업 네트워크들도 스캔할 수 있다”고 말했다. 그에 따르면 해커들은 이같은 방식의 공격을 통해 가정의 네트워크를 스캔하고 라우터 모델을 탐지해 무선 네트워킹을 가능케 하는 명령 전송은 물론, 모든 암호 기능이 작동되지 않게 하거난 기업 네트워크 내부의 서버를 공격할 수도 있다. 악성 자바스크립트는 웹 브라우저가 가동되면 특정 PC의 내부 네트워크 주소를 파악한다. 그 다음 표준 자바스크립트 객체와 명령을 사용해 웹 서버용 내부 네트워크를 스캐닝한다. ◇대형 웹 사이트 운영업체들 ‘요주의’=보안 전문가들은 일부 PC 보안 SW들이 이런 악성 자바스크립트를 탐지하겠지만, 대개 공격이 일어난 뒤에 탐지하기 때문에 사전 차단이 어렵다고 말했다. 웹 애플리케이션 보안 업체인 화이트햇 시큐리티(WhiteHat Security)의 제러마이어 그로스먼 최고기술책임자(CTO)는 “사용자들이 자바스크립트를 작동되지 않게 할 수 있지만 너무 많은 웹 사이트들이 자바스크립트에 의존하고 있어 이것만으론 해결될 수 없다. 악성 자바스크립트는 아주 새로운 것이어서 이것이 무엇을 할 수 있는지는 누구도 잘 모르지만, 앞으로 자바스크립트를 이용한 공격을 더 많이 보게 될 것이 분명하다”고 말했다. 정소영기자@전자신문, syjung@etnews.co.kr ○ 신문게재일자 : 2006/08/01