2017년 나무위키 XSS 공격 사건

XSS 취약점을 악용한 쿠키 탈취 및 사이트 납치 사건

2017년 8월 14일~8월 15일 나무위키의 XSS 취약점을 이용해 토론 스레드를 통해 로그인 쿠키를 탈취하고, 토론을 다른 사이트로 링크시킨 사건이다.

토론 연습장[1]을 시작으로 모 IP 유저가 여러 토론에 악성 자바스크립트를 게시했고, 해당 토론에 접속하기만 해도 자동으로 이상한 문구[2]를 출력하는 이용자들이 생겨났다. 한 규정 토론에서는 더 나가 hitomi.la로 자동 리디렉션이 걸려버렸다.

해당 문제들은 블라인드를 통해 해결되었으나 블라인드된 스레의 내용을 확인할 수 있는 운영자들은 여전히 피해를 봤다. 이후 비슷한 상황이 여러 토론에서 재현되었다.

이어 한 토론자가 갑자기 이상한 발언을 하여 1일 차단되었다가 이어 IP로 재접속해 계정이 해킹당했음을 주장하였다. 해당 계정은 관선 관리자에 의해 차단이 해제되었다.

8월 15일 1시 45분경에는 나무위키의 대문에 다음과 같은 말이 삽입되었다. #참조1 #참조2

이는 관리자 aquarius218의 계정으로 수정된 것이었으나, 이 또한 계정 탈취로 인한 것이었다. 또한 괴투표[3]가 생성되어 공지사항에 올라오기도 했다. 그루터기에 올라온 한 글을 보면[4] 한 사용자가 소명게시판에 aquarius218의 계정이 해킹당한 듯 하니 차단해달라는 글을 올렸으나 영구 차단자 신분이고 통상적으로는 받아들여지지 않을 내용이라서 삭제된 듯 하다.

나무위키는 _cfuid[5], honoka, kotori의 세 가지 종류의 쿠키를 사용하고 있다. 이 중 'honoka' 와 'kotori' 쿠키는 로그인에 사용되는 것[6]으로 이 쿠키를 탈취할 경우 쿠키 주인의 "로그인된 상태"를 탈취하게 되어 비밀번호를 모르더라도 탈취된 쿠키를 적용하여 다른 사람으로 로그인 된 상태가 된다. 사이트 납치도 앞에서 서술한 XSS 취약점을 이용하였다.

최고관리자 derCSyong이 제시한 대처 방법은 다음과 같다.

umanle S.R.L에서 개입해서 결국 해킹된 유저정보를 되돌려놓고, 해당 취약점을 수정했다. 또한 나무위키 관리자 Great_Blue 권한 남용 사건과 같은 시기에 일어났기 때문에 이용자들의 혼란이 가중되었다.

이후 나무위키에서는 2018년 9월 16일부터 해당 문서를 휴지통화시켜 버렸다.

IP 우회수단을 이용하여 공격을 자행하였을 것이기에 누가 한 것인지는 특정하기 어렵다. 다만 나무위키 관리자 Great_Blue 권한 남용 사건의 전개 과정에서 위키 갤러리 등지에 본인이 "나무위키 서버에 랜섬웨어를 살포하겠다." 는 등 나무위키에 대한 테러 의사를 내비쳤기에 Great_Blue의 짓이라는 의견이 우세하다.

더시드위키에 namu가 이번 XSS 사건에 관한 보고서를 올렸다. 관심 있는 사람은 읽어 보도록 하자. 요지는 개발자의 부주의로 인한 취약점(이스케이프를 하지 않아 콜백 로직에서 공격자가 의도한 결과를 낳은 것.)[8]을 활용한 것이었으며, 현재는 해당 취약점이 해결되었다고.

당시에는 나무위키가 아직 독재 사이트가 될락말락이던 시대라서 이때에 대해서 어느 정도 말이 많다. 만약 나무위키가 공명정대한 사이트였다면 동정론만 있었을 것이다.