인터넷챗 서버 보안 점검 결과

점검 대상: http://internetchat.cv:8080/ (도메인 변경 전 internetchat.kro.kr:8080에서도 확인)

점검 날짜: 2026년 10월 31일 · 작성: 비전문가용 요약본

한 줄 결론

서비스의 기본 안전장치(귓속말 보호, 삭제 처리, 권한 구분, 입력값 검증 등)는 생각보다 잘 만들어져 있습니다. 특히 최근 인터넷을 뒤집어 놓은 공개 취약점들(PHP 계열, 방화벽 계열 등)은 이 서버 구조와 맞지 않아 해당 사항이 없습니다. 다만 주소가 암호화되지 않은 http라서 비밀번호·대화 내용이 중간에서 엿보일 수 있는 점과, 비밀번호를 4자만 허용하는 점은 꼭 손봐야 합니다.

1. 꼭 고칠 것 (위험도 높음)

1-1. 주소가 http (자물쇠 없음) — 비밀번호·귓속말이 엿보일 수 있음

지금 주소는 http://internetchat.cv:8080입니다. 여는 순간 브라우저 주소창에 자물쇠가 없을 겁니다. http는 내용을 그대로(봉투 없이) 보내는 방식이라, 같은 와이파이를 쓰는 사람이나 통신 경로 중간에서 로그인 비밀번호와 채팅 내용을 들여다볼 수 있습니다.

참고: 지금 서버는 Cloudflare 프록시 뒤에 연결되어 있습니다. Cloudflare와 서버 사이 구간은 안전하지만, 사용자와 Cloudflare 사이 구간은 여전히 http입니다. 또한 8080 포트는 Cloudflare 무료 HTTPS(자물쇠)가 지원되지 않는 포트라, 지금 주소 그대로는 자물쇠를 달 수 없습니다.

해결: Cloudflare에서 HTTPS가 지원되는 443 포트(주소에서 :8080 제거, https://... 형태)로 연결을 옮기고 Cloudflare의 무료 인증서(Universal SSL)를 켜면 됩니다. 서버 프로그램 설정은 거의 바꿀 필요가 없습니다.
이후 기존 http 주소는 https로 자동 이동되게 하면 됩니다.

1-2. 비밀번호 최소 길이 4자 → 8자 이상으로

현재는 1234처럼 4자만 넘으면 가입·로그인이 됩니다. 짧은 비밀번호는 남이 몇 번 찍어보는 것만으로 뚫릴 수 있습니다. 최소 8자 이상 + 영문/숫자 조합을 권장합니다.

잘 되어 있는 점: 로그인을 5번 틀리면 잠시 잠기는 기능은 이미 있습니다. 이런 장치가 있으니 비밀번호 길이만 조금 더 늘리면 훨씬 안전해집니다.

2. 여유 있을 때 고칠 것 (위험도 중간)

2-1. 로그인 열쇠(토큰)가 주소창에 붙어 다님

로그인하면 서버가 임시 열쇠(토큰)를 주는데, 이 열쇠가 주소?token=...처럼 주소에 계속 붙어 다닙니다. 주소는 서버 기록·브라우저 기록에 남기 쉬워서, 열쇠가 새면 남이 내 계정처럼 접속할 수 있습니다.

해결: 열쇠를 주소가 아닌 쿠키(HttpOnly)에 담아 보내면 주소창에 노출되지 않고, 악성 스크립트로 빼가기도 어려워집니다.

2-2. 회원가입 제한이 없음

점검 중 테스트 계정을 연속으로 5개 만들 수 있었습니다. 자동 프로그램으로 계정을 대량 생성하면 서버 자원을 낭비시키거나 방 목록을 어지럽힐 수 있습니다.

해결: 가입 요청에 간단한 횟수 제한(예: 1분에 3회)이나 캡차를 붙이면 충분합니다.

3. 알게 된 자잘한 것 (위험도 낮음)

남의 메시지 번호가 존재하는지 살짝 새어 나감: 남의 메시지를 고치려 하면 "없는 메시지"가 아니라 "권한 없음"이라고 답합니다. 내용이 새는 건 아니고, 해당 번호의 메시지가 있다는 사실만 알 수 있습니다. 급하지 않습니다.
방 비밀번호에도 잠금 장치가 있는지 확인 필요: 로그인에는 5회 잠금이 있지만, 방 비밀번호 입력에도 같은 잠금이 걸리는지는 확인하지 못했습니다(확인하려다 계정이 잠길 수 있어 중단). 같은 장치를 붙이는 것을 권장합니다.
특이한 형식의 요청에 응답 없이 연결을 닫는 경우가 있음: 파일 업로드 형식으로 보낸 요청에서 잠깐 기다리다 끊어졌습니다. 서버가 멈추는 것은 아니지만, 이런 요청은 바로 거절하도록 다듬으면 좋습니다.

4. 잘 되어 있는 점 (그대로 두면 됨)

항목	결과	쉬운 설명
귓속말 보호	정상	당사자 두 명에게만 보이고, 제3자에게는 전달되지 않는 것을 직접 확인했습니다.
삭제 메시지 처리	정상	삭제하면 서버가 내용을 실제로 비워서 보냅니다. 삭제된 글의 내용이 남아 있지 않습니다.
권한 구분	정상	방장·본인·관리자 권한이 분리되어 있고, 남의 메시지 수정/삭제나 강퇴를 함부로 할 수 없습니다.
스크립트 삽입(XSS)	안전	악성 스크립트가 담긴 글을 일부러 보내봤지만 화면에서 그대로 글자로만 보였습니다.
파일 경로 엿보기	차단	서버 내부 파일을 꺼내보려는 주소 조작이 모두 거부되었습니다.
주소 인코딩 우회	차단	주소를 특수하게 인코딩해 검사를 피하려는 시도도 통하지 않았습니다.
데이터베이스 공격(SQL 주입)	안전	입력값 검사가 먼저 동작해 위험한 문자가 서버까지 도달하지 못합니다.
서버 정보 숨기기	양호	서버 종류·버전이 외부에 드러나지 않습니다.
비정상 요청 처리	안정	깨진 요청, 아주 긴 요청, 이상한 크기 값에도 서버가 멈추지 않고 정상 응답했습니다.
로그인 잠금	양호	5회 실패 시 잠시 잠깁니다.
열쇠 재발급	양호	다시 로그인하면 이전 열쇠는 즉시 무효가 됩니다(한 사람당 열쇠 1개).
admin 아이디 보호	양호	관리자로 오해할 수 있는 `admin` 아이디는 가입이 막혀 있습니다.

5. 최근에 터진 공개 취약점과 비교

2026년 10월에 전 세계적으로 큰 문제를 일으킨 PHP2Shell(PHP 서버 무인증 원격 실행, CVE-2026-109618 / CVE-2026-109619)과 함께 쓰인 리눅스 커널 취약점 Fragnesia(CVE-2026-46300)를 이 서버에 적용해 볼 수 있는지 확인했습니다. 실제 공격 코드(메모리 폭주) 대신 안전한 확인 요청만 보내는 방식으로 점검했습니다.

공개 취약점	필요한 환경	이 서버	결과
PHP2Shell (CVE-2026-109618 / 109619)	PHP 웹 서버(PHP-FPM, 아파치+PHP 등)	PHP를 쓰지 않는 별도 제작 서버	해당 없음
Fragnesia (CVE-2026-46300)	서버 컴퓨터에 먼저 침입한 뒤 관리자 권한을 올리는 공격	웹 요청만으로는 도달 불가	해당 없음
PaperCut(CVE-2026-81578 / 82078), AhsayCBS(CVE-2026-105133 / 105134), PeopleSoft(CVE-2026-35273), Citrix NetScaler(CVE-2026-88771 / 88772)	각 제품이 설치된 서버	해당 제품을 쓰지 않음(흔적 없음)	해당 없음

정리: 요즘 뉴스에 나오는 유명 취약점들은 그 제품을 쓰는 서버를 노립니다. 이 서버는 직접 만든 프로그램이라 그런 공격 대상이 아니었습니다. 대신 이런 서버들이 공통으로 신경 써야 하는 부분(1~3번 항목)을 봐주시면 됩니다.

6. 남아 있는 흔적과 요청 사항

점검 중 만든 테스트 계정 test_bot1 ~ test_bot5(비밀번호 bot1234)가 그대로 남아 있습니다. 계정 삭제 기능이 아직 없어 제가 지울 수 없었습니다. 관리자 기능으로 삭제하거나 DB에서 직접 지워주세요.
점검 중 만든 테스트 채팅방은 모두 인원이 0이 되어 자동으로 사라졌습니다. 방 목록에는 남아 있지 않습니다.

7. 점검 범위와 한계

서버 내부(운영체제, DB 파일, 소스 코드)는 열람하지 못했습니다. 외부에서 보이는 부분만 점검했습니다.
실제 사용자에게 피해가 갈 수 있는 부하 테스트·서비스 중단 공격은 일부러 하지 않았습니다.
도메인이 internetchat.cv로 바뀌면서 Cloudflare가 앞단에 추가되었습니다. 위에 적은 세부 동작은 변경 전 원래 서버에서 확인한 것이라, 서버 프로그램까지 새로 바뀌었다면 같은 항목을 한 번 더 확인하는 것이 좋습니다.
자세한 재현 절차와 응답 기록이 필요하면 따로 정리해 드릴 수 있습니다.

2026-10-31 작성 · 비전문가용 요약 보고서