ZIP Bomb 반격법

Zip Bomb은 HTTP의 압축 구조를 활용한 꽤 효과적인 반격 기법이다. zip of death라고도 부른다.

공격을 막는 보안 기술은 아니고, 공격이 감지되면 데이터 폭탄을 날려서 공격자를 터뜨리는 것이라고 보면 된다.

보안 공격이란 것 자체가 무식한 무차별 대입을 통해서 시작되는 경우가 많다는걸 생각하면, 상대를 단념하게 한다는 점에서 의외로 강력한 방어 기술이라고 볼 수도 있다.

압축 형식이 반드시 ZIP일 필요는 없다. 압축률이 좋기만 하면 된다.
ZIP의 경우에는 기가급 데이터를 10mb 단위로 압축하는 것도 어렵지 않다. 트릭을 쓰면 수백 테라급 데이터도 10mb 단위로 구겨넣을 수 있다.

HTTP와 ZIP Bomb

HTTP에서 일어나는 ZIP BOMB 공격법에 대해 이해하려면 Content-Encoding에 대해서 알아야 한다.

Content-Encoding은 근본적으로 데이터 전송시의 전송 속도/비용을 위해 존재하는 개념이다.
간단히 말해서

1. 서버가 데이터를 압축하고, 압축 방법과 함께 반환하면

2. 클라이언트(브라우저)가 압축 방법을 통해서 압축 해제를 한다.

원래는 서버와 브라우저 양쪽에 압축/압축해제 리소스가 꽤 소모될 수 있는 부분이다.
데이터가 크고 압축할게 많다면 서버 또한 부담이 된다.

ZIP BOMB은 이러한 지점을 교묘하게 이용하는 기법이다.
미리 수십-수백기가에 이르는 파일을 압축해서 준비해뒀다가, 공격이 감지되면 바로 그걸 응답으로 던지는 것이다. 구현 측면에서 본다면 미들웨어를 통해서 적당히 처리할 수 있겠다.

그러면 공격자의 클라이언트 프로그램은, 아무튼 까봐야 뭔지 아니까 압축을 해제하려고 시도할 수밖에 없다. 원래 브라우저가 아니더라도 HTTP 라이브러리들에서 압축해제는 기본 동작이다.
그렇게 압축해제를 하면서 기가급에 달하거나 넘는 폭탄이 메모리에 올라갈 것이고, 공격자가 상식적인 수준의 인프라를 쓴다면 그대로 OOM이 떠서 즉사할 수밖에 없다.

반면 서버에 가해지는 부담은 별로 없다. 그냥 10mb 정도 되는 파일 하나 반환하는 것뿐인데, 이건 어린애 장난 수준이다.

Content-Encoding에 대한 자세한 내용은 별도 포스트를 참조한다.
https://blog.naver.com/sssang97/223404949782

참조
https://idiallo.com/blog/zipbomb-protection
https://ko.wikipedia.org/wiki/Zip_%ED%8F%AD%ED%83%84
https://www.wallarm.com/what/zip-bomb
https://www.bamsoftware.com/hacks/zipbomb/