CVE-1999-0678: 탐지 및 수정 프로젝트

저자: Pham Huu Minh
날짜: 2025년 12월

프로젝트 개요

이 프로젝트는 취약점 평가의 전체 수명주기를 보여줍니다. 구체적으로 Apache 웹 서버의 레거시 **디렉터리 트래버설 취약점(CVE-1999-0678)**을 대상으로 합니다. 목표는 공격을 시뮬레이션하고, IDS로 이를 탐지하며, 보안 허점을 영구적으로 수정하는 것이었습니다.

기술 스택

• 공격자: Kali Linux (Curl, Firefox, GVM)
• 피해자: Ubuntu Server (Apache2, Snort IDS)
• 도구: Greenbone Vulnerability Manager, Snort, Iptables

---

1단계: 발견 및 악용

취약한 Ubuntu 대상(192.168.45.132)으로 로컬 테스트 랩을 구성했습니다.

1. 취약점 스캔: GVM을 사용하여 포트 80에서 HTTP 서비스를 식별했습니다.
2. 수동 검증: 브라우저와 터미널을 통해 노출된 /doc/ 디렉터리에 접근하여 취약점을 확인했습니다.

그림 1: 시스템 문서에 대한 무단 액세스 성공.

---

2단계: 침입 탐지(IDS)

피해자 서버에 Snort를 배포하여 이 특정 공격 패턴을 실시간으로 탐지했습니다.

• 사용자 정의 규칙: alert tcp any any -> any 80 (content:"/doc/"; msg:"CVE-1999-0678 Detected";)
• 결과: 공격자가 디렉터리에 접근했을 때 Snort가 성공적으로 경고를 발생시켰습니다.

그림 2: Snort IDS가 디렉터리 트래버설 시도를 탐지하는 모습.

---

3단계: 완화 및 수정

시스템을 안전하게 보호하기 위해 임시 및 영구 수정 사항을 모두 구현했습니다.

1. 임시 완화(방화벽): iptables를 사용하여 공격자의 IP를 차단하고 진행 중인 침입을 즉시 중단했습니다.
2. 영구 수정(근본 원인): Apache 구성(/etc/apache2/sites-available/000-default.conf)을 수정하여 안전하지 않은 Alias /doc 지시문을 제거했습니다.

검증: 패치 적용 후 공격을 다시 시도했습니다. 서버가 404 Not Found 오류를 반환하여 시스템이 안전하다는 것을 확인했습니다.

그림 3: 404를 반환하는 Curl 명령으로 취약점이 수정되었음을 증명합니다.

---

결론

이 프로젝트는 **심층 방어(Defense in Depth)**의 중요성을 강조합니다. 방화벽이 즉각적인 차단을 제공하지만, 진정한 보안은 근본 원인 수정(구성 패치)과 IDS를 통한 지속적인 모니터링을 요구합니다.