워드프레스 블로그가 공격을 받은 것에 대한 이야기를 해볼까 합니다.
이번 공격은 워드프레스 파일 중 wp-cron.php에 대한 것입니다.
가입형 블로그 형태가 아닌 워드프레스의 경우 블로거가 직접 관리를 해야 하는 부분이기에 참고가 되실 듯 합니다.
![워드프레스 블로그 전송량 초과 - wp-cron.php 최약점 공격](https://i0.wp.com/www.bkfactory.co.kr/wp-content/uploads/2023/08/워드프레스-블로그-공격-03.jpg?resize=1014%2C588&ssl=1)
1년 넘게 방치하고 있던 워드프레스 블로그입니다.
영문 블로그로 그냥 두고 있었는데, 갑자기 구글 애드센스에서 오류 관련 메일이 와서 확인을 해보니 위와 같이 웹호스팅 업체에서 제공하는 한달 제공량이 모두 소진되어 있었습니다.
즉 한달 제공 트래픽이 모두 소진되어 위와 같이 접속이 불가능한 상태이였습니다.
![워드프레스 블로그 전송량 초과 - wp-cron.php 최약점 공격](https://i0.wp.com/www.bkfactory.co.kr/wp-content/uploads/2023/08/워드프레스-블로그-공격.jpg?resize=1016%2C259&ssl=1)
일일 방문자수가 많은 블로그가 아니기에 도대체 무슨 일인지 로그를 뒤져 보기 시작하였는데…
위와 같이 일부 IP에서 상당히 많은 트래픽이 발생된 것이 확인되었습니다.
![워드프레스 블로그 전송량 초과 - wp-cron.php 최약점 공격](https://i0.wp.com/www.bkfactory.co.kr/wp-content/uploads/2023/08/워드프레스-블로그-공격-02.jpg?resize=997%2C371&ssl=1)
도대체 무슨 파일에서 이렇게 트래픽이 발송했나 찾아보았더니 wp-cron.php 파일에서 상당한 트래픽이 발견된 것을 확인할 수 있었습니다.
그리고 차이가 제법 나기는 합니다만 wp-login.php 파일의 읽기 횟수도 적지 않음을 확인할 수 있었습니다.
wp-cron.php 취약점 공격 해결은?
wp-cron.php 파일은 파일 이름에서 확인할 수 있듯이 미리 설정된 행동을 하기 위한 파일입니다.
예를 들어보자면 글 발행 예약을 해 놓으면 예약 시간에 글을 발행되는 것을 관여합니다.
이 wp-cron.php 파일에 보안취약점이 있던 이슈가 있었습니다.
이미 워드프레스 업데이트를 통해 해결이 된 보안취약점인데, 그동안 이 블로그에 업데이트를 적용하지 않아 발생한 문제였습니다.
일단 워드프레스를 최신 버전으로 업데이트를 하였습니다.
그리고 많은 트래픽을 발생한 IP, 즉 공격을 해온 IP는 일정 대역대까지 IP 접근을 막아버렸습니다.
이렇게 조취를 취하고 난 이후 매일 모니터링을 해보니 더 이상 문제가 발생하지 않아 해결된 것으로 보고 있습니다.
결론은?
첫째는 무엇보다 워드프레스에서 배포하는 업데이트는 보안을 위해 바로바로 적용을 하는 것입니다.
여기에 플러그인과 테마 역시도 업데이트를 바로바로 적용해야 할 듯 합니다.
플러그인이나 테마는 잘못된 업데이트 배포로 사이트나 블로그에 접속을 못하는 문제가 발생할 수도 있기는 합니다만 이제는 이런 경우가 발생하는 확률이 상당히 낮아져서 그냥 업데이트 하는 것이 좋을 듯 합니다.
둘째는 워드프레스는 확실히 해외에서는 유저수가 많은 만큼 공격 대상인 것을 다시 한번 알게 되었습니다.
특히 이번 공격을 받은 블로그가 방문자수도 많지 않은 영문 블로그인 것을 감안하면 이 점은 다시 한번 생각을 해봐야 할 듯 합니다.
국내에도 점점 워드프레스 블로그가 늘어나고 있는 만큼 언젠가는 국내에도 한번은 문제가 될 듯 싶네요.
마지막으로 이렇게 한 IP에서 적지 않은 양의 트래픽이 발생하게 되면 워드프레스만 들여다 봐서는 체크 하기가 쉽지 않습니다.
이런 경우 웹호스팅 업체에서 즉 서버상에서 IP를 자동 차단(짧은 시간 지속적인 접속 시도시 차단)하거나 계정 이용자들에게 알려주는 부분이 있어야 할 듯 합니다.
보통 웹호스팅 업체에 제공하는 보안관련 부분도 워드프레스 운영자라면 확인을 해봐야 할 듯 합니다.