2020-10-28 20:55 (수)
구글 검색만으로 해킹할 수 있는 관리자 페이지들 상당수, 아이디와 패스워드는 'admin'
상태바
구글 검색만으로 해킹할 수 있는 관리자 페이지들 상당수, 아이디와 패스워드는 'admin'
  • 길민권
  • 승인 2015.09.15 01:13
이 기사를 공유합니다

‘관리자 페이지’, ‘admin' 키워드만 검색해도 노출되는 사이트 상당수
구글 검색만을 이용해 관리자 페이지가 노출되는 사이트가 상당수 발견됐다. 관리자페이지는 관리자만이 접근할 수 있도록 설계되어야 하지만 국내 많은 홈페이지들이 단순하게 /admin/ /manager/과 같은 단순한 이름의 관리자페이지를 사용하고 있어 해킹 위혐에 노출되고 있는 상황이다.
 
이번에 구글 검색을 통해 7개 사이트의 취약성을 데일리시큐에 제보한 김태현씨는 “구글을 이용해 관련 검색어나 단순히 ‘관리자 페이지’, ‘admin’ 등 키워드만 검색해도 노출되는 사이트가 상당수 있고 악의적 해커라면 노출된 관리자 페이지를 공격해 접근권한에 대한 인증우회시도를 시도할 수 있어 위험한 상황”이라고 전했다.
 
또 “공격자는 패스워드 대입공격이나,SQL injection 공격을 통해 로그인 우회를 시도할 수 있어 위험하다”며 “특히 쉬운 예로 아이디와 패스워드를 ‘admin’으로 설정한 페이지는 쉽게 해킹을 당할 수 있다”고 경고했다.
 
대응방안에 대해서는, 관리자페이지 이름을 admin과 같은 추측하기 쉬운 이름이 아닌 외부사용자가 추측할 수 없도록 이름을 변경해야 하고, 루트(Root) 폴더에 Robot.txt 파일을 이용해 검색엔진이 접근할 수 없도록 설정하는 것이 중요하다고 권고했다.
 
더불어 관리자페이지 접근사용자를 제한 해야 한다. 특정 IP 주소에서만 접근할 수 있도록 하는 것이다. 그렇지 않을 경우 관리자권한 탈취 및 개인정보유출, 회사기밀 유출 등의 보안사고로 이어질 수 있다.
 
★정보보안 대표 미디어 데일리시큐!★
 
<데일리시큐 길민권 기자> mkgil@dailysecu.com