가리는거 의미있나 싶은데 일단 가림

시작은 여기서부터

XDG가 제공한 SDK를 활용해서 고객센터에 접속이 가능하게 만들었다

근데 저기의 중섭은 아마 대만섭일거임. 본토 중섭은 고객센터 없음. 전엔 있었나? 잘 모르겠음 아는 사람 대답해주셈

암튼 미카팀이 만든 소녀전선과 별개로 따로 룽청이 해당 SDK로 로그인 서버 관리를 한다

이 때는 유동이었다

그리고 9월 쯤에 같은 룽청서버인 한섭에서도 비슷한 기능을 구현함

대충 패킷 안 따도 사용자 정보를 가져올 수 있다. 그러니까 직접 로그인 서버로 ID 비밀번호 날려서 로그인 쿼리 받아오는거임

지메일은 구글 계정과 연동이 되어있을때 가능

서버 우회라던가 이런게 가능한데 어쨌거나 정상적으로 로그인 해야 룽청으로부터 쿼리를 받아서 클라이언트로 보내 구동할 수 있었음

근데 이 쯤 해서 문제를 찾긴 했나봄

아래에 보면 지메일 만으로 로그인 할 수 있다고 되어있는데 기존의 로그인 기록이 남아있는걸 그대로 가져와서 로그인을 하는 거 같음

당시 시연한 움짤을 보면 다음과 같이 별도의 로그인 절차 없이 기존 기록만으로 쿼리를 가져오는거 같은데

내가 써 본적이 없어서 구체적으로 어케 굴러가는지는 모름. 지금은 내렸으니까 없어

그리고 그 후에 악용이 가능하다는 사실을 확인하고 해당 문제를 이슈화를 하려고 시도했으나

아예 방법 자체를 상세히 공개하면서 완전히 까버리는 영 좋지 않은 방식을 취하는 바람에 욕먹고 글삭하고 묻혀버림

삭제된 원문은 위의 글을 올리고 몇시간 후에 올라왔었다고 하는데 시간 서순이 잠깐 헷갈려서 확실히 답변해주어 고맙습니다

암튼 이 때 룽청측에 문제를 확실히 전달했지만 룽청측에서 아무런 대응이 없자

얼마 안 되는 과시욕이 생겼는지 실제로 공격을 예고하고 감행함

솔까 나는 예고만 하고 안 할 줄 알았기 땜에 무시했는데 진짜 할 줄은 몰랐다

암튼 정리하자면 이번 일을 저지른 놈은 대략 6개월 정도 전부터 해당하는 보안 이슈를 확실하게 인지한걸로 보임. 그보다 더 전일수도 있고

다만 악용 가능성을 파악한건 1달 내의 일이라고 생각하고, 제보도 8월달에 했을거 같다

그리고 이번 일은 본인이 밝히기에 해당 이슈를 공론화하고 싶어서 저질렀다고 밝혔으니 정황상 제보를 한건 맞을거임. 그리고 씹혔나봄

의도야 어쨌거나 무고한 피해자가 발생했으니 이 건은 빼도박도 못하고 범죄가 맞고 잘못된 행동이긴 한데

생각보다 룽청이 굉장히 무대응으로 일관했구나 싶다