파라미터 값에 특정 문자열이 들어가면 ERR_CONNECTION_RESET 발생

Question

안녕하세요. SM으로 일하고 있습니다.이거 때문에 골머리를 썪고 있습니다.우선 분석 가능한 부분까지 분석해봤는데 다양한 케이스들을 들어보고자 글 올려봅니다.우선 상황은잘 사용되고 있는 특정 메뉴가 있었는데, 특정 상황에서만(파라미터가 달라지는 경우) 해당 메뉴가 작동 안하고크롬에서 보았을때 (failed)net::ERR_CONNECTION_RESET가 발생하는 것을 보았습니다.아예 WAS 쪽으로 요청 자체가 안오더라구요.그래서 정말 다양하게 테스트를 해보다가 보니해당 메뉴에서만 안되는 것이 아니라 파라미터 값에 특정 문자가 들어가면 저런 에러를 반환합니다. 그 문자열은 숫자로 구성되어 있습니다. 근데 앞뒤에 숫자를 추가하면 되구요, 문자나 특문 들어가면 또 안됩니다.예를 들어 도메인 주소에 123123123 이라는 숫자가 들어가면 (failed)net::ERR_CONNECTION_RESET를 반환하고 별다른 response가 없습니다.그런데 웃긴건 저 숫자가 전혀 의미가 있는 숫자도 아니고..저희 업무상 긴 숫자를 랜덤하게 뽑아주는 데이터가 있는데 우연히 저 숫자와 그 데이터의 일부 문자열이 일치하여 에러가 나고 있던겁니다.EX) &#34;123123123&#34;에러 케이스https://도메인/?123123123 -> 에러https://도메인/?A123123123 -> 에러https://도메인/?123123123A -> 에러https://도메인/?123123123_ -> 에러https://도메인/?_123123123 -> 에러https://도메인/?board?param&#61;123123123 -> 에러잘되는 케이스https://도메인/?123123120 -> 잘됨(끝에를 0으로 바꿈)https://도메인/?0123123123 -> 이런건 또 잘됩니다https://도메인/?1231231230 -> 이런건 또 잘됩니다https://도메인/?0012312312300 -> 잘됨https://도메인/board?param&#61;123123123123 -> 잘됨404 케이스(잘된다고 봐야죠)https://도메인/123123123/123123123https://도메인/ss/123123123https://도메인/123123123/sshttps://도메인/123123123/sshttps://도메인/123123123/ss?test&#61;123정리하자면..특정 숫자가 들어가면 안된다. 예를 들어, 123123123123123123 해당 숫자 중 일부를 변경 하면 잘된다. 예를 들어, 123123124 잘됨.중간에 숫자나 문자를 더 추가해도 당연히 잘된다. (123s123123), (1231234123)앞, 뒤에 숫자를 더 붙이면 잘된다. 예를 들어, 0123123123 잘됨.앞, 뒤에 문자나 특수문자를 넣으면 접속이 안된다. (z123123123) (123123123z) (123123123_)그리고 중요한건 디렉토리나 페이지 이름으로 들어가면 잘되서 404 반환합니다.파라미터명으로 넣어도 잘되네요.. (https://도메인?123123123&#61;test) 잘됨근데 파라미터 값으로 들어가면 안됨(https://도메인?test&#61;123123123) 안됨(https://도메인?123123123) 안됨우선 애플리케이션 쪽의 문제는 아닌 것으로 보이는데요... access로그, was로그 등 찍히지도 않음.방화벽이나 로드밸런서 등에서 문제가 생기는 것일까요? 인프라쪽으로 문의를 해봐야할지...혹시 의심가는 부분 등이 있으시다면 마구 던져주세요! 감사합니다~

비정규분포 · Accepted Answer

서드파티 문제면 쉽게 해결 못할겁니다. IDS policy는 대부분 blackbox로 취급하고, 그 업종은 특히나 커뮤니케이션 씹어버리는 걸로 유명해서.https://aws.amazon.com/blogs/security/defense-in-depth-open-firewalls-reverse-proxies-ssrf-vulnerabilities-ec2-instance-metadata-service/프로토콜에 클라이언트 세션 쿠키 주고 받는 로직이 있지 않나요? 그걸 WAF에 감시하라고 등록하면 될 거 같은데. 일단 WAF가 어디에 있는지 확인해서 policy가 어떻게 되어있는지 확인해야 함. 어쨋든 관료 문제로 빨리 해결 못 할 문제임.

비정규분포 · Answer

그래도 친절하게 TCP RST 어디서 와서 다행이내요. 중간에서 그냥 DROP 해버리면 패킷 캡쳐 떠보면 일반 HTTP TCP PSH 패킷의 IP 헤더 TTL 값이랑 TCP RST 찍힌 IP 헤더의 TTL이랑 다르면 100퍼 중간에 IDS가 짜르는 거에요. 그 TTL 값으로 대충 짜르는 IDS가 어디있는지 감이 잡힐겁니다. TTL 값 차이가 없으면... TLS 오프로딩하는 ALB에서 자르는 거일지도?

poniard · Answer

dxdt님 말씀대로 침입차단시스템이 중간에 있다면 해당 문자열이 필터링 되서 연결을 끊는 경우가 있습니다.네트워크나 보안쪽이랑 협의하셔서 연결 끊기는 시점에 차단 로그가 있는지 저 형식의 문자열이 패턴에 있는지 확인해보시면 될 것 같습니다. 숫자형태가 개인정보와 관련있는 (주민번호, 계좌번호, 숫자로 이루어지는 개인정보 등) 형식이라면 그럴 수 있습니다.

파라미터 값에 특정 문자열이 들어가면 ERR_CONNECTION_RESET 발생

3개의 답변

기술 목록