8.20~21 커피닉스 이야기 (보안, 취약점, 플래쉬 쿠키 등)

[truefeel]

개인정보 암호화, 2009년도 상반기 '악성코드 제거프로그램' 실태조사 결과, 플래쉬 쿠키의 특징과 삭제 방법, 다양한 취약점에 대한 것을 정리했다. 8.20(목)~21(금) 커피닉스 이야기중에 '보안'분야만 정리.

1. 개인정보 암호화에 대한 이야기

1) DB보안 솔루션 (암호화 + DB 접근 제어)
2) 프로그램에서 암호화/복호화
3) DB게이트단에서 암호화/복호화

2. 09년도 상반기 '악성코드 제거프로그램' 실태조사 결과

http://www.kcc.go.kr/user.do?boardId=1042&page=P05030000&dc=K05030000&boardSeq=26398&mode=view
http://www.kcc.go.kr/download.do?fileSeq=25897 (hwp파일 다운로드)
1) 2009. 6월 기준으로 국내에 유통되고 있는 134종의 악성코드 제거 프로그램을 대상으로 치료성능, 이용약관 게시, 배포 및 결제방식, 설치 동의확인 등 38개 항목에 대해 실태를 조사
2) 악성코드 제거 프로그램 우수제품 15종을 선정
- 다양한 종류의 악성코드 샘플 1,500개에 대해 치료성능 등을 측정한 결과, 1,000개 이상의 악성코드를 탐지·치료하고,
- 이용약관 게시 등을 준수한 제품

3. 컴트루테크놀로지, 디도스캅 CC인증 계약 체결

이런 기사 나올 때 '계약 체결'이라는 말은 'CC인증을 통과했다'는 의미가 아니다.
CC인증을 받기 위해서 신청이 되어서 이제 진행이 된다는 의미이니 잘 못 이해하는 일은 없길.
참고로 '평가 인증 제품 ( http://www.kisa.or.kr/kisa/kisec/jsp/kisec_3010_04_list.jsp )' 목록 (준비제품, 진행제품, 완료제품)

4. 취약점

1) Squid Infinite Loop in strListGetItem() Lets Remote Users Deny Service
Squid 취약점. 원격 유저가 HTTP 헤더를 이용해서, 모든 CPU 리소스를 소모할 수 있다.
http://www.securitytracker.com/alerts/2009/Aug/1022757.html


인용:

A remote user can send specially crafted HTTP header values that use a comma character as a delimiter to cause the strListGetItem() function in 'src/HttpHeaderTools.c' to enter an infinite loop and consume all available CPU resources.



2) PHP "mail.log" Configuration Option "open_basedir" Restriction Bypass. PHP version 5.3.0 is affected.
http://www.securityfocus.com/bid/36007

3) Solaris sendfile and sendfilev Flaw Lets Local Users Deny Service

4) 최근 milw0rm.com에 등록된 취약점 (현재 밀웜 사이트가 접속 안된 상태라서 다시 한번 적는다.)

Linux Kernel 2.x sock_sendpage() Local Root Exploi... - 2009-08-18
VUPlayer <= 2.49 (.m3u File) Universal Buffer Over... - 2009-08-18
asaher pro 1.0.4 Remote Database Backup Vulnerabil... - 2009-08-18
Traidnt UP 2.0 Remote SQL Injection Exploit - 2009-08-18
ZTE ZXDSL 831 II Modem Arbitrary Configuration Acc... - 2009-08-18
Best Dating Script Arbitrary Shell Upload Vulnerab... - 2009-08-18

5. Top websites uing Flash cookies to track user behavior

http://www.scmagazineus.com/top-websites-using-flash-cookies-to-track-user-behavior/article/141486/



인용:

Unlike traditional HTTP cookies, Flash cookies are not controlled by the browser, so erasing HTTP cookies does not erase Flash cookies – enabling some websites, particularly advertising networks wishing to track users' browsing habits, to deter users' efforts to avoid being tracked, according to the report.



플래쉬 쿠키는 브라우저에서 제어할 수 없고, HTTP 쿠키 삭제해도 플래쉬 쿠키는 지워지 않는다. 그래서, 웹사이트들은 유저들의 브라우징 습관을 추적하기를 원하는데, 바로 이 플래쉬 쿠키를 이용할 수 있다.

- 플래쉬 쿠키 삭제 ( Adobe's Flash Player settings manager
http://www.macromedia.com/support/documentation/en/flashplayer/help/settings_manager07.html

6. milw0rm.com 21일 18시 현재 여전히 접속 안돼. (20일 새벽에도 접속 안됐음)

7. CSRF 툴 : http://wocares.com/pf3.php


※ 참여자 : sCag, 좋은진호, 티니, 웃는남자, 범냉이 등

[truefeel]