그누보드4, 영카트4 웜 취약점 및 백도어 대응 패치 가이드

• 목록
• 스크랩

그누보드4, 영카트4 웜 취약점 및 백도어 대응 패치 가이드

그누보드4 운영 환경에서 외부 PHP 소스 실행 취약점으로 인한 웜 감염 여부를 확인하고, 필수 패치를 적용하여 서버 통제권 탈취를 예방하는 방법을 안내합니다.

그누보드4 외부 PHP 소스 실행 취약점 패치 방법

그누보드4의 common.php를 사용하는 4.22.03 이하 버전(4.22.04에서 패치됨)에서는 외부 PHP 소스 실행 취약점을 패치하기 위해 스킨 경로 초기화 코드를 반드시 추가해야 합니다.

패치 대상 및 코드 수정 위치

• 대상 버전: 그누보드4의 common.php를 사용하는 모든 사이트 (4.22.03 이하 버전, 4.22.04에서 패치됨)
• 수정 파일: /common.php

/common.php 소스코드 중 // 스킨경로 주석 하단에 아래의 코드를 반드시 추가합니다.

// 스킨경로
$board_skin_path = ''; // 이 코드 한줄이 반드시 들어가야 합니다.
if (isset($board['bo_skin']))
 $board_skin_path = "{$g4['path']}/skin/board/{$board['bo_skin']}"; // 게시판 스킨 경로

이 패치를 누락할 경우 검색 엔진을 통한 사이트 주소 파악, 공격 코드 전송, 서버 내 웜 설치 및 백도어 생성으로 이어져 원격 통제 권한을 탈취당할 수 있는 피해가 발생할 수 있습니다.

서버 data 폴더 내 웜·백도어 PHP 파일 확인 방법

그누보드4 서버의 data 폴더에 웜이나 백도어로 의심되는 비정상 PHP 파일이 생성되었는지 확인하려면 서버에 접속하여 find 명령어를 실행합니다.

확인 및 삭제 절차

1. data 폴더로 이동합니다.

   cd data

2. 기본으로 생성되는 index.php 외에 다른 PHP 파일이 있는지 탐색합니다.

   find. -name '*.php'

3. data 폴더 밑에서 검색되어 나오는 PHP 파일은 실행되는 파일이 아니므로, 검색된 PHP 파일들을 모두 삭제해도 무방합니다. 기본 파일인 index.php를 모두 삭제하셔도 좋습니다.

루트 경로에서 grep 명령어로 웜 코드 탐색 및 삭제하기

그누보드4 외부 PHP 소스 실행 취약점으로 인해 서버에 업로드된 웜 파일을 찾기 위해 루트(/) 경로에서 grep 명령어를 실행할 수 있습니다.

1. 악성 코드 패턴 검색 명령어 실행

루트(/) 경로에서 아래의 명령어를 각각 실행하여 이미 업로드된 웜 PHP 파일이 있는지 탐색합니다.

• grep -rs 'eval($_REQUEST' *
• grep -rs 'eval(gzinflate(base64_decode(' *

2. 탐색된 파일 삭제

검색 결과로 악성 코드가 포함된 웜 PHP 파일이 확인되면 해당 파일을 찾아 삭제합니다.

상황별 대응 가이드

• 내 상황: 그누보드4(4.22.03 이하 버전)를 운영 중이며 외부 PHP 소스 실행 취약점 및 백도어 감염 여부를 확인하고 패치해야 하는 경우
• 선택 기준: common.php 파일 내 스킨 경로 초기화 코드 존재 여부 및 data 폴더 내 비정상 PHP 파일 생성 여부
• 다음 행동: common.php 파일에 스킨 경로 초기화 코드를 추가하고, 서버 data 폴더 및 루트 경로에서 find 및 grep 명령어를 실행하여 악성 파일과 웜 코드를 탐색 및 삭제

실전 FAQ

Q. data 폴더의 PHP 파일을 삭제할 때 index.php까지 모두 지워도 되나요?

• 답변: 네, data 폴더 아래에서 검색되는 PHP 파일은 실행되는 파일이 아니므로 기본 파일인 index.php를 포함하여 검색된 모든 PHP 파일을 삭제하셔도 무방합니다.

참고자료

기타 참고자료

• sir.kr — 필수패치 그누보드4, 영카트4 웜 취약점 보고 - SIR - 개발자 커뮤니티