웹사이트에 침입해 오는 상대에게 ZIP 폭탄을 보내 격퇴하는 방법

부적절한 보안 서버를 찾기 위해, 웹 사이트에는 매일 수많은 의심스러운 액세스가 발생합니다. 그러한 접근 상대에게 용량이 부풀어 오르는「ZIP 폭탄」을 보내 격퇴하는 방법을 소개하고 있습니다.

How to defensa your website with ZIP bombs

How to defend your website with ZIP bombs

ZIP 폭탄은 ZIP 압축 알고리즘을 최대한 활용하여 거대한 파일을 작은 ZIP 파일에 담은 것입니다. 예를 들면 단 10MB의 ZIP 파일을 풀면 281TB가 되어 버리는 ZIP 폭탄도 등장하고 있습니다.

서버를 SSH 가능 상태로 인터넷에 연결하면 중국, 러시아 등의 IP에서 수많은 로그인 시도가 이루어집니다.

SSH뿐만 아니라 세계에서 가장 인기 있는 CMS의 WordPress 보안에 구멍이 없는지 확인하기 위한 액세스도 일상적으로 이루어지고 있습니다.

텍사스 주에서 회사를 경영하는 엔지니어 Christine 씨는 이러한 해커의 스캔 행위로 몇 GB의 로그가 가득 차 버리는 것이 혐오스러워, ZIP 폭탄으로 반격할 생각을 떠올렸습니다. 브라우저는 ZIP을 처리할 수 없지만 동일한 알고리즘의 GZIP(리눅스 GNU Zip)을 처리할 수 있습니다. 그래서 Christine는 GZIP으로 0으로 채워진 10GB 파일을 압축하여 10MB의 파일을 만들었습니다.

그리고 그 GZIP 파일을 전달하는 코드를 기술, 일반적인 브라우저에서는 GZIP 파일을 자동으로 압축해제하는 설정이 되어 있기 때문에 이 GZIP 폭탄이 설치된 페이지를 열면 갑자기 10GB의 파일이 나타나게 됩니다.

Christian 씨가 주요 브라우저로 동작을 시험해 보면 아래와 같은 결과가 되었다는 것.

・Chrome
메모리 사용량이 상승해, 그 후 에러가 발생.

・Edge
메모리 사용량이 상승한 후 급감해, 무한 로딩 발생.

・Safari
메모리 사용량이 상승한 후 크래쉬 해, 페이지가 리로드 됨.

덧붙여 이 ZIP 폭탄의 링크는 원 블로그 최하단의 「Try it yourself」에 설치되어 있습니다. 만약 자신의 디바이스로 동작을 실험해 보고 싶으신 분은 눌러보세요.