[지디넷코리아]필자가 해킹과 보안 관련 글을 몇 번 쓴 덕분에 희한하고도 곤란한 부탁들이 들어오는 경우가 종종 있습니다. 그 대표적인 것 중 하나가 특정인의 전자메일 계정에 접근할 수 있느냐는 것입니다. 대부분 연예를 하고 있는 남성들의 부탁으로 보아 연인이 잘해준다는 동아리 선배와 바람이 났는지, 키가 크고 멋지게 생겼다는 직장상사와 은밀한 메일을 주고받는 것은 아닌지 확인하고 싶었겠지요.

과연 필자는 이들의 부탁을 들어 주었을까요? 물론 그렇지 않았습니다. 무슨 수로 남의 비밀번호를 알아내겠습니까. 알고자하는 메일 서버의 관리자도 아닌데다 큰 메일 서버의 비밀번호는 암호화가 되어 있기 때문에 관리자라고 하더라도 비밀번호를 알아내는 것은 사실상 불가능합니다.

그녀의 메일함을 열어 보고 싶어요
그렇지만 말도 안되는 무식한 방법을 동원한다면 1%의 가능성도 없다고 말할 수는 없습니다. 가능성이 있어 보이는 모든 비밀번호를 다 입력해 보는 방법이 바로 그것입니다. 물론 이 방법이 얼마나 무식하고 희박한 확률인지는 간단히 계산해 봅시다. 만약 비밀번호가 6자리였다고 가정하면,


1초에 한번 시도한다고 했을 때 1,144,299일이 걸리고 년으로 따지면 3135년이 걸리게 됩니다. 설상가상으로 비밀번호가 6자리라는 보장도 없습니다. 그렇지만 실제로 사용되는 비밀번호의 가짓수가 저렇게 많지는 않습니다.

필자의 비공식적 통계에 의하면 4자리 이상을 비밀번호로 받는 전산 시스템의 1/4 가량이 4자리 숫자를 사용하고 있습니다. 또한 영어단어나 한글단어나 숫자 조합 등 그 수를 줄여 보면 훨씬 줄어들게 됩니다. 정말 다행이 아닐 수 없지요.

이 한낱 같은 가능성을 붙들고 한번 시도를 본격적으로 시작해 보도록 하겠습니다. 그렇다고 남의 메일 계정의 비밀번호를 알아내는 것은 불법적인 행위이니 사용한지가 오래되어 잊어버린 내 메일의 비밀번호를 찾아내는 것으로 상황 설정을 합시다.

로그인 구조
알고 싶은 메일 계정이 모 사이트에서 사용하는 couldyouman@XXXl.net이라고 합시다. 우선 로그인 시도를 위해 첫 페이지로 가봅시다.


<화면 1> 모 사이트 메인 페이지의 로그인 루틴
<화면 1>을 보면 아이디와 비밀번호를 넣는 란이 있습니다. 소스보기를 하여 확인해 보면 폼 객체로 아이디는 id, 비밀번호는 pw로 담으며 이 정보를 http://login.XXX.net/Mail-bin/login.cgi로 보냄을 확인할 수 있습니다. method=“post”의 의미는 이 넘기는 정보를 보이지 않게 하라는 의미입니다. 실제로 로그인 버튼을 눌렀을 때 보내는 형태는 다음과 같습니다.


앞에 숫자는 줄 번호입니다. 1번 줄의 굵은 글씨는 로그인 처리하는 웹 페이지 주소입니다. 옆에 HTTP/1.0이라는 것은 웹 페이지를 주고받은 프로토콜인 HTTP이자 버전이 1.0인 방식으로 서버와 통신을 하겠다는 의미입니다.

6번 줄은 서버 주소이며 9번 줄이 아이디와 비밀번호를 넘기는 주소입니다. 실제로 통신 포토를 80번 열고 다음과 같은 데이터를 보내면 로그인 성공 아니면 실패의 메시지를 받게 됩니다.