보안

워드프레스에는 xmlrpc.php 라는 파일이 있습니다. 외부 프로그램이 글을 쓰거나 핑백을 보낼 때 쓰는 창구입니다. 요즘은 쓰는 사람이 거의 없고, 대신 비밀번호를 한 번에 수십 개씩 밀어 넣을 수 있다는 이유로 공격에만 쓰입니다. 그래서 닫으라는 글이 많습니다. 다만 닫으면 무엇이 어떻게 달라지는지를 숫자로 적어 둔 글은 찾지 못했습니다. 지난 10월 11일 12시 7분에 이 서버의 xmlrpc.php…

접속 기록에는 방문자가 어디서 왔는지 적는 칸이 있습니다. Referer 라고 부릅니다. 여기에 https://www.google.com/이 적혀 있으면 보통 구글 검색 결과를 눌러서 들어온 사람이라고 읽습니다. 유입 통계라는 것이 대개 이 칸을 세어서 만들어집니다. 이 서버의 8일치 기록에서 그 칸에 검색엔진이 적힌 요청이 34,446건이었습니다. 숫자만 보면 하루 4,300건, 검색에서 들어온 방문으로 읽힙니다. 그런데 Referer 를 보지 않는 네…

지난 글에서 서버 요청의 16.7%가 .git 폴더를 뒤지는 요청이었고, 그중 4,917건은 실제로 파일을 내주고 있었다는 것을 확인하고 아파치 설정으로 막았습니다. 그 뒤 4일 동안 같은 로그를 다시 셌습니다. 차단 전 4일과 차단 후 4일을 같은 길이로 놓고 비교하면, .git을 건드린 IP 수는 178개에서 175개로 거의 같은데 요청 수는 27,997건에서 589건으로 97.9% 줄었습니다. 스캐너의 수는 그대로이고,…

워드프레스가 도는 서버의 접속 로그를 35일치(8월 9일~9월 12일) 모아 응답 코드별로 세어 봤습니다. 297만 7,553건 가운데 404가 106만 5,189건, 35.8%입니다. 정상 응답 200(49.2%)에 이어 두 번째로 많은 코드가 “없는 페이지”입니다. 그런데 이 404를 경로별로 나누자 절반에 가까운 49만 2,189건이 한 폴더를 향하고 있었습니다. /.git/입니다. 그리고 그 요청 가운데 4,917건은 404가 아니라 200이었습니다. 실제로 파일을 내준…

워드프레스는 예약 작업을 도는 크론(cron)을 서버의 시계가 아니라 방문자의 요청에 얹어서 돌립니다. 누군가 페이지를 열면 그 요청 안에서 “지금 돌릴 일이 있는가”를 확인하고, 있으면 자기 자신에게 wp-cron.php를 한 번 더 호출합니다. 그래서 “방문자가 없으면 크론이 늦는다”는 말을 자주 듣는데, 정작 누가 얼마나 늦게 띄우는지를 재본 적은 없었습니다. 이번에 이 서버의 접속 로그 33일치, 2,819,012줄을 전부…

워드프레스 사이트의 방문자 수가 평소와 비슷한데 CPU 사용률과 대역폭이 갑자기 치솟는다면 실제 독자보다 봇이 더 많은 요청을 보내고 있는지 확인할 필요가 있습니다. 특히 /wp-login.php, /xmlrpc.php, 존재하지 않는 PHP 파일을 반복해서 호출하는 IP는 정상 방문자로 보기 어렵습니다. 클라우드웨이즈에서는 서버 보안 로그와 애플리케이션 트래픽 분석 기능을 이용해 문제의 IP와 봇을 찾아낼 수 있습니다. 다만 모든 봇을 무조건…