nginx 1.18.0 에 알려진 취약점 6건
CVE-2021-23017 · CVSS 7.7 — 1-byte memory overwrite in resolver CVE-2023-44487 · CVSS 7.5 · 실제 악용 확인(KEV) — HTTP/2 Rapid Reset
고치는 방법nginx 를 최신 보안 패치 버전으로 올리세요. 배포판 패키지는 보안 패치가 뒤로 반영돼 버전 숫자만으로는 다를 수 있으니 보안 공지도 확인하세요.
외부 공격자 시점 보안 점검
해커 눈에 보이는 내 사이트,
먼저 확인하세요
도메인 하나만 넣으면 SSL, 보안 헤더, 메일 위조 방지, 알려진 취약점, 블랙리스트 등재까지 8가지를 공개 정보만으로 점검하고 A~F 등급과 고치는 방법을 드립니다.
- 8무료 외부 점검 항목
- 183단계 전체 점검 항목
- 0공격 · 쓰기 요청
- $ damasafe scan mysite.co.kr --stage 1
- → DNS 확인 · 공인 주소 211.xx.xx.12
- ✓ 서버 식별 nginx/1.18.0 · PHP/7.4.3
- ! SSL/TLS 인증서 23일 남음 · TLS 1.0 허용
- ✗ 보안 헤더 6개 중 4개 없음
- ! 메일 위조 방지 DMARC 없음
- ✓ 도메인 평판 블랙리스트 6곳 깨끗
- ✗ 알려진 취약점 CVE-2021-23017 외 37건
- ✓ 쿠키 보안 Secure · HttpOnly
- ! 정보 노출 X-Powered-By 버전
D57점
예시 결과 · 2.1초
- 높음2
- 보통4
- 낮음3
1단계 · 무료 · 로그인 없이
공격자가 처음 5분 동안 보는 것, 8가지
메인 페이지 요청 몇 번과 TLS 접속만으로 끝납니다. 대상 서버에 부담을 주거나 무언가를 시도하지 않습니다.
-
01
서버 · 언어 식별
공격자는 먼저 무엇으로 만든 사이트인지 봅니다.
Server · X-Powered-By 헤더, 쿠키 이름, 페이지 흔적으로 웹서버 · 언어 · 솔루션을 찾아냅니다.
-
02
SSL/TLS 인증서 · 프로토콜
자물쇠가 있어도 오래된 문이 열려 있을 수 있어요.
인증서 만료 · 도메인 일치 · 체인, TLS 1.0/1.1 허용 여부, http → https 전환을 봅니다.
-
03
보안 헤더
브라우저에게 내리는 방어 지시문입니다.
HSTS · CSP · X-Frame-Options · X-Content-Type-Options · Referrer · Permissions 6가지.
-
04
DNS · 메일 보안(SPF · DMARC)
내 도메인으로 가짜 메일을 보낼 수 있는지.
SPF · DMARC 정책과 MX 를 확인합니다. 없으면 피싱 메일 발신자로 도용됩니다.
-
05
도메인 평판(블랙리스트)
스팸 · 피싱 목록에 오르면 메일도 접속도 막힙니다.
Spamhaus · URIBL · SpamCop · Barracuda · PSBL 등 6곳에서 도메인과 웹 · 메일서버 IP 의 블랙리스트 등재 여부를 조회합니다.
-
06
버전 → 알려진 취약점(CVE)
드러난 버전 하나가 공격 목록이 됩니다.
찾은 버전을 미국 NVD 취약점 DB 와 대조해 CVSS 점수와 실제 악용 여부(KEV)까지 보여 줍니다.
-
07
쿠키 보안 속성
로그인 쿠키가 새어 나가지 않게.
Secure · HttpOnly · SameSite 속성이 빠진 쿠키를 찾습니다.
-
08
서버 정보 노출
오류 화면이 내부 구조를 알려 주고 있지 않은지.
버전 헤더와 없는 주소의 오류 화면에서 경로 · 스택 추적 · 프레임워크 흔적을 찾습니다.
단계별 점검
밖에서, 문 앞에서, 서버 안에서
허락받은 만큼만 깊이 들어갑니다. 깊은 점검일수록 내 사이트라는 증명이 먼저입니다.
-
1단계무료 · 누구나
외부 관찰
공개된 응답만 읽습니다. 검색 엔진이 보는 수준의 요청입니다.
- SSL/TLS · 보안 헤더 · 쿠키
- SPF · DMARC 메일 위조 방지
- 블랙리스트 6곳 평판 조회
- 버전 → CVE 대조
- A~F 등급 · PDF 리포트
-
2단계소유 인증 필요
심층 점검
DNS TXT · 파일 · 메타 태그 중 하나로 내 도메인임을 증명하면 문을 직접 두드려 봅니다.
- .env · .git · DB 백업 등 숨은 파일 27종
- 관리자 · phpMyAdmin 화면 노출
- DB · 원격 접속 등 열린 포트 21개
- 알려진 취약 경로 8종
-
3단계서버에 설치
설치형 점검
스크립트 하나를 서버에서 실행합니다. 읽기만 하고, 아무것도 밖으로 보내지 않습니다.
- SSH · PHP · 웹서버 · DB 위험 설정
- 웹셸 · 업로드 폴더 실행 파일
- SQL 주입 · XSS 코드 패턴
- 권한 · 계정 · 로그인 실패 기록
리포트
무엇이 위험한지, 왜 위험한지, 어떻게 고치는지
발견마다 근거(실제 응답 값)와 바로 붙여 넣을 수 있는 설정 예시를 함께 드립니다. PDF 로 저장하고 결과 JSON 을 받아 다른 도구와 이을 수 있습니다.
- PDF 저장 · 인쇄용 화면
- 표준 결과 JSON 내려받기
- 고친 뒤 다시 점검해 등급 비교
DMARC 정책이 없어요
_dmarc.mysite.co.kr TXT → (없음)
고치는 방법DNS 에 v=DMARC1; p=quarantine; rua=mailto:dmarc@mysite.co.kr TXT 레코드를 추가하세요.
안전 원칙
점검 도구가 공격 도구가 되지 않도록
남의 사이트를 마음대로 두드리는 데 쓰일 수 없게 설계했습니다.
인증 없이 능동 점검 없음
숨은 파일 · 관리자 화면 · 포트 점검은 소유 인증을 마친 도메인에만, 점검 직전마다 인증을 다시 확인합니다.
내부망 · 사설 주소 차단
IP 직접 입력, 사설 · 예약 대역으로 풀리는 도메인은 거절합니다. 확인한 주소로만 접속해 DNS 바꿔치기도 막습니다.
천천히, 조금만
요청 사이 0.2초 간격, 점검마다 정해진 수만 보냅니다. 1단계는 한 시간에 10회, 심층 점검은 도메인당 하루 5회로 제한합니다.
모든 점검을 기록
누가 언제 어떤 도메인을 점검했는지 남깁니다. 점검 요청에는 담아 세이프임을 밝히는 이름표를 붙입니다.
설치형은 읽기만
파일을 고치거나 지우지 않고, 네트워크로 아무것도 보내지 않습니다. 결과 파일은 직접 열어 보고 올립니다.
원본 파일은 받지 않음
결과에는 경로 · 건수 · 설정 이름 · 버전만 담깁니다. 소스 코드와 설정 파일 내용은 서버를 떠나지 않습니다.
자주 묻는 질문
점검 전에 궁금한 것들
남의 사이트를 점검해도 되나요?
1단계는 브라우저로 사이트를 여는 것과 같은 수준의 공개 정보만 봅니다. 숨은 파일이나 포트처럼 문을 두드리는 2단계는 도메인 소유를 증명해야만 열립니다. 허락 없이 다른 사람의 시스템을 점검 · 침투하는 것은 정보통신망법 위반이 될 수 있어요.
점검하면 사이트가 느려지거나 멈추지 않나요?
1단계는 요청 몇 번, 2단계도 0.2초 간격으로 60여 개 요청만 보냅니다. 서버에 쓰기 · 로그인 시도 · 공격 문자열은 보내지 않습니다.
등급은 어떻게 매기나요?
100점에서 위험 높음 20점, 보통 7점, 낮음 2점씩 뺍니다. 90점 이상 A, 80 B, 65 C, 50 D, 35 E, 그 아래 F 이고, 높음이 하나라도 있으면 C 를 넘지 못합니다.
A 등급이면 안전한 건가요?
아니요. 밖에서 보이는 흔한 실수가 없다는 뜻입니다. 코드 로직 · 계정 관리 · 내부 설정은 3단계 설치형과 전문 모의 해킹으로 따로 봐야 합니다.
버전이 취약하다는데, 배포판에서 패치했으면요?
우분투 · 레드햇 같은 배포판은 보안 패치를 예전 버전 번호에 덧붙입니다(backport). 버전 숫자만으로는 실제와 다를 수 있으니 리포트의 CVE 번호로 배포판 보안 공지를 확인하세요.
소유 인증은 어떻게 하나요?
DNS 에 TXT 레코드 하나, 또는 사이트에 인증 파일 하나, 또는 메인 페이지에 메타 태그 한 줄 중 편한 방법 하나면 됩니다. 인증 값은 이 브라우저에 묶이고, 점검할 때마다 다시 확인합니다.
고치기 전에 먼저 알아야 합니다
도메인을 넣으면 10초 뒤 등급과 고칠 목록이 나옵니다.