출처 : http://www.apache-kr.org/cgi-bin/bbs?act=mread&board=0&mater=8397&vid=29&page=1



안녕하십니까?


저는 오늘과내일의 홍석범입니다.


최근에 CERTCC-KR 에서 "일부 와레즈 사이트에서의 불법 upload 문제" 에 대해
기술 문서(http://certcc.or.kr/paper/incident_note/2001/in2001_016.html) 를
올려주셨는데,
이 부분에 대해 좀 더 효과적인 다른 방법이 있어 소개를 드릴까 합니다.



최근에 와레즈 사이트를 통해 게임이나 오락, 동영상등 각종 데이터들이
공유되면서
와레즈 사이트에서 자신과는 관련 없는 임의의 서버에 데이터를 업로드 한 후
무단 링크하여
서비스하는 경우가 많습니다. 이러한 경우 데이터 전송량이 갑자기 늘어 서버의
부하가 급격히
올라감은 물론 한정된 회선의 대역폭도 소모하게 되어 서버를 관리하는
관리자들에게는 이러한
무단링크가 큰 골치 거리중에 하나이기도 합니다.
저희가 운영하는 서버도 이러한 것 때문에 고생을 하다가 결국 별도로 업로드만
감시하는
프로그램을 짜서 돌리기도 했지만, 여러 방법중 아래의 방법이 가장 효과적인 듯
하여 소개를 드립니다.
설명드릴 방법은 아파치 웹서버에서의 설정법으로 크게 두 가지입니다.
(대부분의 와레즈 무단 링크는 실제로 웹서버에서의 게시판을 통한 업로드로
이루어집니다.)



>> 첫번째 방법 : Referer 을 이용한 방법


이 방법은 와레즈 사이트의 주소가 거의 공통점이 있다는 점을 이용한
방법입니다.
(거의 대부분의 와레즈가 무료로 배포하는 2차 도메인을 사용합니다.)


참고로 이 설정은 예전에도 잠시 소개된 적이 있는 방법과 비슷합니다.
(BrowserMatch 를 이용하여 webzip 이나 Teleport 등의 User-Agent 를 차단하는
방법을 기억하실 것입니다.)
httpd.conf 파일에 아래와 같이 BrowserMatch 대신 SetEnvIFNoCase Referer 를
이용하는 방법입니다.


SetEnvIFNoCase Referer "warez" link_deny
SetEnvIFNoCase Referer "free" link_deny
SetEnvIFNoCase Referer "home" link_deny


(FilesMatch ".(avi|mpe?g|zip|asf|exe)$">
Order allow,deny
allow from all
deny from env=link_deny
(/FilesMatch>


위와 같이 설정시에는 Referer URL이 warez 또는 free 나 home 이 포함되었을
경우 이 사이트를 link_deny 라는
변수에 할당하고, 확장자가 avi나 mpeg,zip,asf 등인 파일에 대해 접근을 하려고
할 때 접근하는 Referer 의
URL 이 link_deny 라는 환경 변수에서 정의한 단어를 포함한 곳에서 접근시에는
access 를 제한하게 됩니다.
따라서 홈페이지 주소에 warez 나 free 또는 home 이 포함된 주소에서 위의
데이터를
무단 링크하였을 경우에는 이를 차단할 수 있게 됩니다.
Nocase 를 추가로 설정하였을 경우에는 Referer URL의 대소문자를 가리지 않게
되어 링크하는 사이트가 대소문자에
관계없이 http://my.warez.org/ 나 http://My.Warez.Org/
http://MY.WAREZ.ORG/ 모두 적용됩니다.


다른 확장자를 추가하고나 다른 URL을 추가/변경하고자 할 경우에는
정규식(Regular Expression)을 이용하여
적절히 추가 설정하시면 됩니다. 또는 이와는 반대로 아예 httpd.conf 에서
아래와 같이 설정할 수도 있습니다.


(VirtualHost tt.co.kr>
ServerAdmin antihong@tt.co.kr
DocumentRoot /home/tt/public_html
ServerName tt.co.kr
ServerAlias www.tt.co.kr
SetEnvIf Referer tt.co.kr link_allow
SetEnvIf Referer www.tt.co.kr link_allow
SetEnvIf Referer ^$ link_allow
(FilesMatch ".(mpg|asf|wmv)$")
Order Deny,Allow
Allow from env=link_allow
Deny from all
(/FilesMatch>
(/VirtualHost>


위와 같이 설정하였을 경우, 외부에서는 mpg, asf, wmv 확장자를 갖는 파일에
대해서는
일체의 무단 자료 링크가 불가능하게 되며, 오직 link_allow 에서 지정한
도메인에서만 링크가 가능하게 됩니다.
(즉, 위의 경우 오직 자기자신에서만 링크가 가능)
위와 같이 설정 후 외부에서 무단 링크를 하였을 때 error_log 를 살펴 보면
아래와 같이
무단으로 링크한 자료의 다운로드가 작동하지 않는 것을 확인할 수 있습니다.
(클라이언트에게는 Forbidden 에러가 나게 됩니다.)


[Tue Sep 4 15:55:44 2001] [error] [client 211.230.82.78]
client denied by server configuration: /home/tt/public_html/data/3-2.wmv


참고로 외국에서는 이미지 파일을 무단 링크하는 것이 문제가 된 적이
있었는데요..
이를 "Image Theft" 라고 표현하더군요...




>> 두번째 방법: LimitRequestBody 를 이용한 방법


이 방법은 대부분의 와레즈 사이트에서 무단으로 업로드하는 파일의 용량이
적게는 7-8 메가에서부터
많都?50 메가까지 고용량이라는 특성을 이용한 방법입니다.
실제로, 누구나 업로드나 다운로드가 가능한 자료실을 운영하고 있을 경우
사이즈가 너무 큰 파일을
업로드 또는 다운로드 할 경우 부하가 많이 걸리게 되어 결국 시스템의 성능
저하를 유발하게 됩니다.
최근 배포되는 게시판/자료실 프로그램에서는 대부분 업로드 할 수 있는 용량등을
제한할 수 있는
기능이 있지만 그렇지 않은 프로그램도 상당수 있어 웹 서버 차원에서 이 제한을
적절히 설정할 필요가 있습니다.
아파치에서는 이와 관련하여 웹 서버에서 업로드/다운로드 할 수 있는 파일의
사이즈를 제한하는
LimitRequestBody 기능을 이용할 수 있습니다.
LimitRequestBody 는 클라이언트가 요청시 http 프로토콜을 통해 서버가 제공할
수 있는
메시지의 크기를 byte 단위로 정의하는 것으로 무한대를 의미하는 0부터
2,147,483,647(2Giga) 까지
설정 가능하며 이 설정으로 대용량의 파일을 업/다운로드 하는 형태의 서비스
거부 공격을
효과적으로 차단할 수 있습니다.
이를 설정하는 방법은 httpd.conf 를 열어 아래와 같이 라인을 추가하면 됩니다.


(Directory />
LimitRequestBody 7168000
(/Directory>
(Directory /home/special/>
LimitRequestBody 10240000
(/Directory>


위와 같이 LimitRequestBody 인자를 설정하면 아파치 웹서버를 이용하여
업/다운로드 하는
모든 파일의 사이즈를 7M로 제한하고 /home/special/ 이하에 대해서는 10M로
제한하게 됩니다.
위와 같이 설정시 지정된 사이즈를 초과하는 파일을 업로드/다운로드 시에는
Reuqest Entity Too Large 라는 에러 메시지가 뜨며 업로드/다운로드가 되지 않게
됩니다.



참고가 되셨기를 바랍니다.




감사합니다.