방치된 윈도우 IIS 서버는 어쩌다 공격자의 놀이터가 될까 (그리고 ‘재미’가 ‘실형’이 되는 선)

웹 서버라고 하면 흔히 리눅스의 Nginx나 Apache를 떠올리지만, 윈도우 서버 세계에는 IIS(Internet Information Services)라는 마이크로소프트의 웹 서버가 여전히 곳곳에서 돌아가고 있어요. 특히 사내 시스템, 오래된 ASP.NET 웹앱, 기업·기관의 레거시 서비스에 많이 쓰이죠. 문제는 이 IIS 서버들 중 상당수가 한번 세워놓고 그대로 방치된다는 거예요. 이번 글은 그렇게 방치된 IIS 서버가 어떻게 공격자의 표적이 되는지, 그리고 제목에 붙은 ‘재미와 실형(for fun and jail time)’이라는 표현이 무슨 뜻인지 짚어보는 보안 이야기예요.

‘for fun and profit’이 아니라 ‘and jail time’이라고요?

보안 업계에는 “for fun and profit(재미와 이익을 위하여)”이라는 오래된 농담 같은 표현이 있어요. 취약점 연구 글 제목에 단골로 붙죠. 그런데 이걸 비틀어 “and jail time(그리고 실형)”이라고 한 건 뼈가 있는 농담이에요. 허락받지 않은 시스템을 함부로 들쑤시면, 그게 아무리 기술적으로 흥미로워도 범죄가 된다는 경고거든요. 우리나라 정보통신망법도 마찬가지예요. 남의 서버에 권한 없이 접근하면 처벌 대상이에요. 그래서 이런 연구는 반드시 내 소유이거나, 명시적으로 허가받은(버그바운티·모의해킹 계약) 대상에 한해서만 해야 해요.

방치된 IIS는 왜 위험할까

IIS 서버가 표적이 되는 전형적인 약점들을 쉽게 풀어볼게요.

• 디렉터리 노출과 상세 에러 페이지: 설정이 허술하면 폴더 목록이 그대로 보이거나, 에러가 날 때 서버 내부 경로·스택 정보가 화면에 다 찍혀요. 공격자에겐 지도를 쥐여주는 셈이죠.
• 버전 정보 흘리기: 응답 헤더(Server 헤더 등)에 IIS 버전, .NET 버전이 그대로 노출되면, 그 버전에 알려진 취약점을 골라 공격할 수 있어요.
• 오래된 컴포넌트와 미적용 패치: 윈도우·IIS·ASP.NET 보안 패치를 안 하고 방치하면, 이미 공개된 취약점(특히 역직렬화 관련)이 그대로 뚫려요.
• 약한 인증과 기본 설정: 관리 페이지가 기본 경로에 그대로 열려 있거나, 추측 가능한 계정·약한 비밀번호가 남아 있는 경우도 흔해요.
• 위험한 HTTP 메서드 허용: PUT 같은 메서드가 열려 있으면 파일을 서버에 올려버릴 수도 있어요.

그래서 어떻게 지켜요? (방어 체크리스트)

운영자라면 이런 것부터 점검해보세요. 우선 디렉터리 브라우징을 끄고, 에러 페이지는 일반 사용자에게 상세 정보가 안 나가도록 커스텀 페이지로 바꾸세요. Server·X-Powered-By 같은 버전 노출 헤더는 제거하고요. 윈도우 업데이트와 .NET 보안 패치는 미루지 말고 정기적으로 적용해야 해요. 안 쓰는 HTTP 메서드와 핸들러, 모듈은 과감히 꺼서 공격 표면(공격당할 수 있는 입구)을 줄이는 것이 핵심이에요. 관리 인터페이스는 외부에서 못 들어오게 막고, 가능하면 IIS를 최소 권한 계정으로 돌리세요.

업계 맥락

요즘 보안 트렌드는 “경계만 단단히 지키면 된다”에서 “내부도 못 믿는다(제로 트러스트)”로 옮겨가고 있어요. 또 인터넷에 노출된 자산을 스스로 찾아 점검하는 ASM(공격 표면 관리)이라는 분야도 커지고 있고요. 방치된 IIS 서버 문제는 결국 “우리 조직이 인터넷에 뭘 띄워놨는지조차 모른다”는 더 큰 문제의 한 단면이에요.

한국 개발자에게 주는 시사점

오래된 ASP.NET·윈도우 기반 서비스를 운영하는 곳이 국내에 정말 많아요. 혹시 “내가 안 만든 옛날 서버인데 누가 관리하는지도 모르겠다” 싶은 게 있다면, 그게 바로 위험 신호예요. 한번 자산 목록을 정리하고, 위에 적은 체크리스트로 점검해보세요. 그리고 보안 공부를 하고 싶다면 절대 남의 서버가 아니라 내 로컬 가상머신에 IIS를 직접 세워놓고 실습하세요. ‘기술적 호기심’과 ‘범죄’ 사이의 선은 생각보다 가깝거든요.

한 줄 정리: 공격 기법보다 먼저 배워야 할 건 ‘허락의 경계’예요. 여러분 조직에는 아무도 신경 안 쓴 채로 인터넷에 떠 있는 서버가 혹시 없을까요?