그누보드로 만든 사이트, 몇 년째 손대지 않고 그대로 돌아가고 있진 않나요? "잘 돌아가는데 뭐"라는 생각으로 방치된 그누보드 사이트는 공격자에게 가장 만만한 표적입니다.
그누보드는 국내에서 가장 널리 쓰인 게시판 솔루션인 만큼, 알려진 취약점과 자동화된 공격 패턴도 그만큼 많이 쌓여 있습니다. 문제는 대부분의 해킹이 대단한 기술이 아니라 기본 점검을 빼먹은 틈을 파고든다는 점입니다.
이 글에서는 오래된 그누보드 사이트를 운영 중이라면 오늘 바로 확인해야 할 보안 점검 항목 7가지를 정리했습니다. 개발자가 아니어도 하나씩 따라 확인할 수 있도록 구성했습니다.
1. 그누보드 버전을 최신 보안 패치로 올렸는가
가장 흔하면서도 가장 위험한 방치가 버전 업데이트입니다. 공식 보안 패치는 이미 알려진 취약점을 막기 위해 배포되는데, 업데이트를 미루면 그 취약점이 그대로 열려 있는 셈입니다.
관리자 페이지 하단이나 config.php에서 현재 버전을 확인하고, 공식 배포처의 최신 버전과 비교해 보세요. 메이저 업그레이드가 부담스럽다면, 최소한 같은 버전 계열의 최신 보안 패치만이라도 적용하는 것이 좋습니다.
[이미지: 그누보드 관리자 페이지의 버전 정보 화면]
2. 관리자 계정과 접속 경로를 기본값으로 두고 있진 않은가
관리자 아이디를 admin으로, 관리자 페이지 경로를 기본값 /adm 그대로 두면 자동화 공격의 첫 표적이 됩니다. 공격 봇은 이 흔한 조합부터 하루에도 수천 번씩 두드립니다.
- 관리자 아이디를 추측하기 어려운 값으로 변경
- 비밀번호는 영문 대소문자·숫자·특수문자를 섞은 12자 이상
- 가능하다면 관리자 페이지 접근을 특정 IP로 제한
특히 여러 사이트에서 같은 비밀번호를 재사용하고 있다면, 한 곳이 뚫리는 순간 전부 위험해집니다.
3. 파일 업로드 취약점을 막았는가
게시판 첨부파일은 그누보드 해킹의 단골 통로입니다. 확장자 검증이 허술하면 공격자가 악성 스크립트를 이미지인 척 올려 서버에서 실행시킬 수 있습니다.
업로드 허용 확장자를 이미지·문서 등 꼭 필요한 것으로만 제한하고, 업로드 디렉터리에서는 스크립트 실행 자체를 차단하는 설정이 되어 있는지 확인하세요. 이 한 가지만 제대로 막아도 상당수의 웹셸 공격을 예방할 수 있습니다.
4. SQL 인젝션에 노출되는 커스텀 코드가 없는가
그누보드 코어보다 위험한 건 오래전에 급하게 붙여 놓은 커스텀 페이지나 외부 스킨인 경우가 많습니다. 사용자 입력을 그대로 쿼리에 넣는 코드가 남아 있다면 SQL 인젝션의 통로가 됩니다.
직접 만든 페이지, 오래된 무료 스킨, 외주로 받은 부가 기능이 있다면 우선 점검 대상입니다. 코드를 볼 수 없는 상황이라면, 최소한 어떤 커스텀 요소가 붙어 있는지 목록이라도 파악해 두어야 합니다.
5. HTTPS(SSL 인증서)가 정상 적용되어 있는가
아직도 http로 접속되는 사이트라면 로그인 정보가 평문으로 오갈 수 있습니다. 브라우저는 이런 사이트에 "안전하지 않음" 경고를 띄우고, 검색엔진도 HTTPS를 순위 요소로 반영합니다.
무료 인증서(Let's Encrypt)로도 충분히 적용할 수 있으며, 만료 자동 갱신까지 설정해 두는 것이 안전합니다. 인증서가 만료된 채 방치되면 오히려 접속 자체가 막히는 사고로 이어집니다.
6. 정기 백업 체계가 있는가
보안의 마지막 방어선은 백업입니다. 아무리 잘 막아도 사고는 날 수 있고, 그때 온전한 백업이 있느냐 없느냐가 복구 시간을 좌우합니다.
- 데이터베이스와 파일(업로드 포함)을 함께 백업
- 서버 안이 아니라 외부 저장소에도 사본 보관
- 백업이 실제로 복구되는지 한 번은 테스트
랜섬웨어나 웹셸 사고에서 백업 하나로 하루 만에 복구하는 곳과, 백업이 없어 사이트를 통째로 다시 만드는 곳의 차이는 엄청납니다.
7. 불필요한 파일과 기본 설치 흔적을 지웠는가
설치 과정에서 쓰였던 파일이나 테스트 페이지, 백업본(.bak, .zip)이 웹 경로에 그대로 남아 있는 경우가 의외로 많습니다. 이런 파일은 공격자에게 사이트 구조와 취약점 정보를 그대로 넘겨주는 힌트가 됩니다.
설치 관련 파일, 접근 가능한 소스 압축본, 디버그용 페이지가 남아 있지 않은지 확인하고 정리하세요.
자주 묻는 질문
그누보드 보안 업데이트는 얼마나 자주 해야 하나요?
공식 보안 패치가 배포될 때마다 즉시 적용하는 것이 원칙입니다. 자주 확인하기 어렵다면 최소 분기에 한 번은 버전과 패치 현황을 점검하는 습관을 권장합니다.
개발자가 없는데 이 점검을 직접 할 수 있나요?
버전 확인, 관리자 비밀번호 변경, HTTPS 적용 여부처럼 화면에서 확인 가능한 항목은 비개발자도 점검할 수 있습니다. 다만 파일 업로드 설정이나 커스텀 코드의 SQL 인젝션 점검은 서버·코드 접근이 필요해 전문가의 도움이 안전합니다.
오래된 그누보드 사이트, 계속 유지하는 게 나을까요 리뉴얼이 나을까요?
보안 패치가 끊긴 아주 오래된 버전이거나 커스텀 코드가 뒤엉켜 유지보수가 어려운 상황이라면, 그때그때 막는 것보다 안전한 최신 환경으로 리뉴얼하는 편이 장기적으로 비용과 위험을 함께 줄여 줍니다.
마무리
그누보드 사이트의 보안은 대단한 기술이 아니라 기본 점검을 빠짐없이 챙기는 것에서 시작합니다. 오늘 정리한 7가지 — 버전 업데이트, 관리자 계정, 파일 업로드, SQL 인젝션, HTTPS, 백업, 불필요한 파일 정리 — 부터 하나씩 확인해 보세요.
혼자 점검하기 벅차거나, 오래된 그누보드 사이트를 안전하게 유지·리뉴얼하고 싶다면 Codeless-Studio가 도와드릴 수 있습니다. 레거시 그누보드 사이트를 현대적이고 안전한 환경으로 옮기는 작업을 전문으로 하고 있습니다. 무료 보안 진단부터 부담 없이 시작해 보세요.