WAFFLED: Exploiting Parsing Discrepancies to Bypass Web Application Firewalls

1. 문제 정의 (Problem)

웹 애플리케이션 방화벽 (WAF) 은 SQL 인젝션, XSS 등 다양한 웹 기반 위협으로부터 서버를 보호하기 위해 필수적인 보안 장치로 자리 잡았습니다. 그러나 기존 WAF 우회 기술들은 주로 페이로드를 인코딩하거나 오프스케일 (obfuscation) 하는 방식에 의존해 왔으며, 이는 이미 WAF 벤더들이 대응책을 마련한 상태입니다.

이 논문은 HTTP 요청 파싱의 불일치 (Parsing Discrepancies) 를 새로운 우회 벡터로 규명합니다. 클라이언트, WAF, 그리고 백엔드 웹 애플리케이션 프레임워크가 동일한 HTTP 요청을 해석할 때 서로 다른 RFC 표준 해석이나 구현 차이로 인해 발생하는 불일치를 악용하면, WAF 는 요청을 정상으로 간주하지만 실제 웹 애플리케이션은 악성 페이로드를 실행하게 되는 상황을 만들어낼 수 있습니다. 특히 HTTP 요청 스머글링 (HRS) 과 유사한 원리이지만, 페이로드 자체를 변조하지 않고 콘텐츠 타입 (Content-Type) 의 구조적 요소 (예: 경계 문자, 헤더 파라미터 등) 를 변조하여 WAF 와 프레임워크 간의 해석 차이를 유발하는 것이 핵심 문제입니다.

2. 방법론 (Methodology)

저자들은 WAFFLED라는 새로운 접근법을 제안하며, 다음과 같은 단계를 거쳐 실험을 수행했습니다.

• 그람마 기반 퍼징 (Grammar-based Fuzzing):
  • RFC 표준에 기반한 입력 그람마를 사용하여 유효한 HTTP 요청을 생성합니다.
  • 공격 페이로드 (SQLi, XSS 등) 는 변조하지 않고 유지한 채, 헤더, 바디 세그먼트, 경계 문자 (boundary), 네임스페이스 등 비악성 요소를 변조 (Mutation) 합니다.
  • 목표는 WAF 가 변조된 요청을 "유효"하다고 판단하여 통과시키지만, 백엔드 프레임워크는 이를 "유효한 악성 요청"으로 해석하도록 만드는 것입니다.
• 실험 환경 구성:
  • WAF: AWS WAF, Azure WAF, Google Cloud Armor, Cloudflare WAF, ModSecurity (NGINX) 등 5 가지 주요 WAF 를 테스트했습니다.
  • 프레임워크: Flask, Laravel, FastAPI, Gin, Express, Spring Boot 등 6 가지 주요 웹 프레임워크와 Busboy, Formidable, xmltodict 등 널리 사용되는 파서 라이브러리를 조합했습니다.
  • 콘텐츠 타입: multipart/form-data, application/xml, application/json 등 3 가지 복잡한 콘텐츠 타입을 집중적으로 분석했습니다.
• 유효성 검증:
  • 단순히 WAF 를 통과한 요청만 성공으로 간주하지 않고, 백엔드 프레임워크가 해당 요청을 성공적으로 파싱하여 페이로드를 실행 가능한 상태로 만드는지 확인하는 엄격한 기준을 적용했습니다.

3. 주요 기여 (Key Contributions)

1. 새로운 우회 접근법 제시: 페이로드 인코딩이 아닌, 콘텐츠 파싱 불일치를 이용한 WAF 우회 기법을 최초로 체계적으로 제시했습니다.
2. 자동화된 발견 파이프라인: 블랙박스 퍼징 기술을 활용하여 WAF 와 프레임워크 간의 파싱 불일치로 인한 새로운 우회 벡터를 자동으로 발견하는 방법론을 개발했습니다.
3. 광범위한 테스트 및 데이터 확보: 5 개 WAF 와 6 개 프레임워크의 조합을 대상으로 37 만 3 천 개 이상의 요청을 테스트하여 1,207 개의 고유한 우회 사례를 확인했습니다.
4. 실제 적용 가능성 입증: PublicWWW 데이터를 기반으로 한 현장 연구 (In-the-wild study) 를 통해, 전 세계 웹사이트의 90% 이상이 application/x-www-form-urlencoded 와 multipart/form-data 를 상호 교환적으로 허용함을 발견하여 이 기법의 광범위한 적용 가능성을 입증했습니다.
5. 대응 솔루션 개발 (HTTP-Normalizer): 발견된 취약점을 해결하기 위해 RFC 표준을 엄격하게 준수하여 HTTP 요청을 정규화하거나 차단하는 프록시 도구인 HTTP-Normalizer를 개발했습니다.

4. 실험 결과 (Results)

• 우회 성공률: 테스트된 모든 WAF-프레임워크 조합에서 최소 1 개 이상의 우회 기법이 성공했습니다. 총 1,207 개의 고유한 우회 요청이 확인되었습니다.
  • multipart/form-data: 351 개 우회
  • application/xml: 299 개 우회
  • application/json: 557 개 우회
• 주요 우회 기법 유형:
  • Multipart: 경계 문자 (boundary) 제거 또는 변조, 헤더 파라미터 연속성 (continuation) 악용, Content-Disposition 헤더 변조, 공백/탭 문자 삽입 등.
  • XML: DOCTYPE 닫기 혼란, 스키마 닫기 조작, Content-Type 헤더 파라미터 제거 등.
  • JSON: 필드 이름 래퍼 조작 (예: \x00 삽입), 따옴표 대체, Content-Type 헤더 제거 등.
• 현실적 영향력:
  • 테스트된 100 개 주요 웹사이트의 "비밀번호 찾기" 페이지를 분석한 결과, 90% 이상의 사이트가 서로 다른 콘텐츠 타입을 상호 교환적으로 처리했습니다. 이는 공격자가 multipart/form-data 우회 기법을 application/x-www-form-urlencoded 가 사용되는 사이트에도 적용할 수 있음을 의미합니다.
• 대응 도구 평가: 개발한 HTTP-Normalizer는 모든 우회 시도 (1207 건 중 63 건 샘플 테스트) 를 성공적으로 차단하거나 정상화했습니다. WAF 벤더들은 보고된 취약점을 인정하고 수정 작업을 진행 중이며, 일부 (Google Cloud Armor 등) 는 버그 바운티를 지급했습니다.

5. 의의 및 결론 (Significance)

• 보안 패러다임의 전환: WAF 우회는 더 이상 페이로드를 숨기는 것만으로는 해결되지 않으며, HTTP 프로토콜과 파싱 로직의 일관성이 보안의 핵심임을 시사합니다.
• WAF 구현의 취약성: 현재 널리 사용되는 주요 WAF 들조차 RFC 표준 해석의 미묘한 차이로 인해 심각한 보안 허점을 가지고 있음을 드러냈습니다.
• 해결책의 실용성: WAF 벤더들이 모든 공격을 막기 위해 복잡한 규칙을 추가하는 대신, RFC 표준에 엄격하게 부합하는 파서 (Normalizer) 를 도입함으로써 이러한 불일치 기반 공격을 근본적으로 차단할 수 있음을 증명했습니다.
• 향후 연구 방향: HTTP/2 환경에서의 파싱 불일치 연구, 다양한 프레임워크 및 콘텐츠 타입으로의 확장, 그리고 파싱 행위를 이용한 WAF/서버 지문 (Fingerprinting) 분석 가능성 등을 제시합니다.

이 논문은 웹 보안 분야에서 WAF 의 신뢰성을 재고하게 만들며, 표준 준수와 파싱 일관성의 중요성을 강조하는 중요한 연구 성과입니다.