메모리 고갈에 약 383MB를 사용했다는 부분은 꽤 투박해서 놀라움. 완전한 아마추어인 나도 DeepSeek으로 PHP2Shell 공격 코드를 만들었고, stealmybitcoin 사이트에 업로드 제한이 생기자 크기를 줄이면서 효과를 키워보도록 요청했음.
DeepSeek은 크기를 절반으로 줄이는 데 그쳤지만, 공격 방식 분석을 읽고는 이 방법을 못 찾았다는 게 의외였음. PHP가 임의의 요청에 담긴 f[0][x][x]...를 파싱해 중첩 객체를 만들면서 이런 메모리 폭탄을 허용한다는 것도 끔찍함. 자금이 충분한 전문가들이라면 거대한 파일명과 세션 진행 데이터를 보내는 대신 이 방법을 찾아냈을 법함.
내 DeepSeek 세션에서는 이 방법을 찾아냈음.
보안을 신경 쓰는 배포 환경이라면 이 기능은 비활성화함. 일부 대형 방화벽 업체는 그렇지 않은 듯함.
읽어보니 방화벽 업체는 거의 확실히 Palo Alto Networks로 보임. PAN-OS 설정이 그대로 들어 있고, SELinux 구성도 내가 접한 것과 일치함.
언급된 PHP 7.4.33과 PHP 8.30.0도 각각 PAN-OS 11.1/11.2와 12.1/12.2에 정확히 대응하므로 추가 단서가 됨.
주식시장 움직임은 FORTINET을 가리킴.
Dream은 오스트리아 총리를 지낸 Sebastian Kurz가 설립하고 이끄는 회사임. 그는 부패 스캔들로 사임해야 했음.
미국 독자에게 비유하자면 Rudy Giuliani가 사이버보안 전문가로 나서는 격임. 애초에 Sebastian Kurz의 전문 분야가 아니기도 하지만, 무엇보다 그 부패 스캔들의 중심에 부패를 실행하는 데 사용한 WhatsApp이 있었기 때문임.
완전히 틀렸음. 추가 조건 없이 인터넷 어디서나 모든 PHP 서버에서 원격 코드 실행이 가능하다는 위험을 어떻게 과장이라고 볼 수 있는지 모르겠음. PHP 요청 파서를 공격하면 사실상 모든 보안 검사를 우회함. 취약한 구성요소가 애플리케이션 코드보다 먼저 실행되고 비활성화할 수도 없으니, 코드를 아무리 안전하게 작성해도 소용없음.
왜 과장이라고 생각했는지 정말 궁금함. 취약한 PHP 서버에 개인키를 올리고 “내 비트코인을 훔쳐봐라”라며 위험이 과장됐음을 입증하려던 사람도 하루 안에 비트코인을 도난당했음.
잘못 판단한 게 맞음. 공격은 php-fpm 같은 프로세스가 웹 애플리케이션 코드를 실행하기 전에 발생함. 특정 클래스를 호출하는 엔드포인트를 찾아야 하는 식의 조건이 필요하지 않음.
새 정보를 보고 재평가하는 태도는 존중함. 나도 초등학교 6학년 때 처음 접한 뒤로 PHP를 피하려 해서 실제 심각성을 판단하기 어려웠고, 읽는 내용에 따라 생각이 오락가락했음.
처음에는 수많은 시스템을 급히 패치해야 하는 경제적 영향에 주목했지만, 위험을 고려하면 서비스를 내리는 것이 올바른 선택임. 수십 년간 패치되지 않은 블로그들도 언젠가 봇넷의 표적이 될 수 있음. 비슷한 이유로 WordPress가 랜섬웨어 호스팅에 흔히 쓰이는 것과 같음. 이번 공개 일정과 유출에서도 향후 취약점 공개를 위한 교훈을 얻길 바람. 2015년 Google과 Microsoft의 충돌 이후 거의 달라지지 않은 현행 관행은 전반적으로 바뀔 필요가 있음.
PHP 패치 이후에도 가능한 공격인지, 아니면 서버들이 패치하지 않은 것인지 헷갈림.
영향받은 장비는 대형 업체의 특정 방화벽 소프트웨어 버전을 실행하며, 그 소프트웨어가 패치되지 않은 PHP 버전을 사용함.
소프트웨어가 근본적으로 안전하지 않으니 모든 기능이 칩에 하드웨어로 고정 구현되는 방향으로 갈 것 같음. FPGA 관련주를 봐야 하나? 설계 검증(DV) 이 다시 뜨거워질 듯함.
이 서버들은 여러 설정이 잘못된 것 같은데, 공격자들이 아직도 접근 권한을 유지하고 있다는 건가?
Claude Code가 설치돼 있었다는 게 이해되지 않음. 에이전트 실행 도구가 이것 하나뿐인 것도 아닌데, 공격자들은 왜 굳이 Claude Code를 쓰는 걸까?