자료원문 : http://www.krcert.or.kr/technicalDocList.do?docNo=TR2006005

URL이란 인터넷상의 특정 정보를 지정하는데 사용하는 주소 표시 형식이다. Internet Exploere, Firefox등 웹브라우저를 사용하여 정보를 검색할 때 이들 소프트웨어는 인터넷 사용자가 어떤 사이트를 방문하고 있는지 주소창에 URL을 표시함으로써 알려 준다. 그러므로 웹브라우저의 주소창은 항상 현재 방문하고 있는 사이트의 주소를 표시하고 있어야 하지만, 소프트웨어의 버그에 의하여 이 부분이 다른 주소로 표시되도록 할 수 있으며, 이를 URL스푸핑 공격이라고 한다.

이와 같은 URL스푸핑 공격은 그 자체로서는 시스템의 운영이나 동작에 영향을 미치지 않는다. 그러나 최근 빈발하고 있은 피싱과 결합하였을 경우에는 공격 대상자가 자신이 속고 있다는 것을 알아채기 힘들기 때문에 자신도 모르는 사이에 피해자가 될 수 있다. 실제로 “인터넷 침해사고 동향 및 분석 월보” 중에서 “피싱 경유지 신고 통계 분석” 기사를 보면 피싱기법에 SW보안오류가 이용되는 것을 확인할 수 있다.

인터넷침해사고대응지원센터에서는 2004년 10월 KrCERT 홈페이지의 기술문서를 통해 웹브라우저의 각종 스푸핑 취약점을 정리하였다. 기술문서에서 특수문자/스크립트/HTML 태그/다이얼로그 박스 등을 이용한 URL스푸핑 기법과 스푸핑 기법을 이용한 피싱 공격방법을 설명하고 대응방법을 제시하였다.

본고에서는 2004년 이후 공개된 IE, Firefox 스푸핑 주요 취약점을 정리하고 테스트가 가능한 취약점에 대해 상세히 설명한다.