🟥 Code Red (2001) — 'N 400개' 요청 하나가 IIS를 삼키다

1. 배경/역사 — 언제, 누가, 왜 유명한가

2001년 7월 13일 배포되고 7월 15일 인터넷에서 처음 관측된 Code Red는 마이크로소프트 IIS 웹서버만을 겨눈 자기복제 웜이다. Morris Worm(1988)이 '인터넷을 멈춘 최초의 웜'이라면, Code Red는 "서버를 대규모로 장악하고, 스스로 웹페이지를 바꾸고, 특정 대상을 향해 DDoS까지 예약하는" — 즉 전파 + 변조 + 공격을 한 덩어리로 묶은 최초의 대규모 혼합 위협(mixed-threat)이었다.

발견자는 eEye Digital Security의 Marc Maiffret과 Ryan Permeh, 취약점 자체를 찾은 사람은 같은 회사의 Riley Hassell다. 이름의 유래는 다소 엉뚱하다 — 발견 당시 그들이 마시던 마운틴듀 'Code Red'에서 따왔다. 웜이 악용한 결함은 마이크로소프트 보안 공지 MS01-033 / CVE-2001-0500, 즉 IIS에 딸려 오는 Index Server ISAPI 확장(idq.dll)의 길이 검사 없는 버퍼 복사다. 결정적인 사실 하나 — 패치는 웜보다 한 달 먼저, 2001년 6월 18일에 이미 공개돼 있었다.

그럼에도 2001년 7월 19일 하루에만 359,000대가 감염됐다. 사흘 뒤 CRv2(변종)가 7월 31일 다시 300,000대 규모로 재확산되며 "패치를 안 하면 무슨 일이 벌어지는가"를 전 세계에 증명했고, 이 웜의 트래픽이 전 세계에서 관측되면서 대규모 감염 데이터를 근거로 한 최초의 웜 확산 연구(CAIDA)가 나왔다. 웜 자체를 막는 방법을 처음 알아낸 Kenneth D. Eichman은 그 공로로 백악관에 초청되기도 했다.

계보도 뚜렷하다. 동일한 주입 벡터를 그대로 쓰되 페이로드를 완전히 바꾼 Code Red II(2001년 8월 4일)가 2주 뒤 등장해 웹서버에 백도어를 심었고, 그로부터 6주 뒤 Nimda(2001년 9월 18일)가 .ida 벡터를 포함한 다중 감염 경로로 이어졌다. 관리자들이 이 3연타를 겪으며 패치 관리(Patch Management)와 취약점 노출면 축소가 보안의 중심으로 이동했다.

2. 감염·전파 경로 — '문을 두드려 열리면 들어간다'

Code Red는 사람을 속이는 웜이 아니다(Emotet의 스피어피싱형 체인과 정반대다). 아무 단계도 사람 손을 거치지 않는다. 한 대가 감염되는 순간 그 호스트가 스캐너로 변해 다음 대상을 찾는다.

• ① 무작위 IP 생성: 웜은 100개의 스레드를 만들어 각 스레드마다 독립적인 의사난수 IP 주소를 생성한다. 주소 공간 전체를 균등하게 훑기 때문에 웹서버 존재 여부, IIS 여부, 취약 버전 여부를 전혀 확인하지 않는다.
• ② 포트 80 포격: 찾은 주소의 80번 포트로 GET /default.ida?NNNN… 형태의 요청을 보낸다. 그래서 당시 Apache 서버 로그에도 이 요청이 그대로 남았다 — "우리는 IIS도 아닌데 왜 이런 요청이 계속 들어오지?" 하는 로그가 전 세계적으로 관측됐다.
• ③ 익스플로잇 성립: 대상이 취약한 IIS라면 .ida 질의 문자열이 고정 크기 버퍼를 넘쳐 흘러 저장된 복귀 주소를 덮어쓰고, 이어지는 문자열이 기계어로 해석되며 웜 본체가 프로세스 메모리 위에서 실행된다. 파일을 떨어뜨리지 않는다.
• ④ 재감염 루프: 웜은 취약 버퍼를 계속 열어둔 상태로 유지한다. 그래서 재부팅으로 메모리에서 사라져도 같은 서버가 다시 감염됐다 — "재부팅했으니 괜찮다"가 통하지 않는 전형적인 사례다.
• ⑤ 날짜 스케줄러: 웜 내부에 날짜 기반 3단계 상태 기계가 하드코딩돼 있다. 1~19일 = 전파, 20~27일 = 고정 IP(백악관 웹서버 포함)로 대량 요청 플러드, 28일~말일 = 휴면. 즉 웜이 곧 '예약된 공격 작전표'를 들고 있었다.
• ⑥ 플러드의 결말: 20일이 되기 전에 whitehouse.gov의 서버 IP가 이미 다른 주소로 옮겨져 웜이 쏘아댄 트래픽은 대부분 허공으로 갔다. 그러나 다른 고정 주소들로 향한 플러드는 계속됐다.
• ⑦ 변종의 진화(CRv2, 8월 4일): 동일 벡터를 쓰되 전파를 위해 TFTP로 cmd.exe/root.exe를 끌어와 웹서버에 백도어를 설치하고(가상 경로 /MSADC, /scripts 등), explorer.exe를 트로이잔으로 교체했다. 또한 스캔 대상을 자기 서브넷 쪽으로 편향시켜(같은 /8 50%, 같은 /16 37.5%, 완전 무작위 12.5%) 내부망 전파력을 크게 높였다 — 전 세계 확산형(CRv1)에서 내부 침투형(CRv2)으로 전환한 것이다.

3. 동작 원리 상세 분석 — 코드/구조 레벨

핵심은 단 하나의 코딩 실수다. IIS의 Index Server는 .ida(또는 .idq) 요청이 오면 질의 문자열을 처리하는데, 그 과정에서 고정 크기 스택 버퍼에 길이 검사 없이 복사했다. 요청 하나로 스택 프레임이 넘치고, 넘친 바이트가 저장된 복귀 주소(Saved EIP)를 덮어써 실행 흐름이 공격자가 지정한 곳으로 점프한다. 그 뒤 문자열(%u 형태의 유니코드 인코딩)은 그대로 기계어로 해석되어 웜 코드가 된다 — 교과서적인 스택 버퍼 오버플로 → 임의 코드 실행 → 자기복제 사슬이다.

구분	Code Red (CRv / CRv1)	Code Red II (CRvII)
주입 벡터	GET /default.ida? + 반복 문자로 버퍼 오버플로 (동일, CVE-2001-0500)
오버플로 채움 문자	'N' 반복	'X' 반복
디스크 흔적	없음(메모리 상주, 파일리스) — 재부팅 시 소멸	파일 설치(explorer.exe 트로이잔) → 재부팅 후에도 백도어 잔존
페이로드	전파 + 웹페이지 변조 + 날짜 20~27일 DoS	백도어(TFTP → cmd.exe/root.exe, /MSADC·/scripts 가상경로), DoS 기능 없음
부가 행위	변조 문구 "HELLO! Welcome to http://www.worm.com! Hacked By Chinese!"	24~48시간 후 시스템 재부팅 시도(은닉·전파 보조)
스캔 분포	주소 공간 전체에 사실상 무작위	같은 /8 50% · 같은 /16 37.5% · 무작위 12.5% — 내부망 편향

구조를 구성요소 단위로 뜯어보면 이렇다.

• 침투부(익스플로잇): 고정 길이 문자열로 복귀 주소를 덮고, 그 뒤 %u 인코딩 페이로드로 제어를 가져온다. 웜의 알려진 흔적은 HTTP 요청 자체에 남는다 — 이 형식이 그대로 시그니처가 됐다.
• 확산부(100 스레드 스캐너): 각 스레드가 자기만의 난수 IP 생성기를 돌린다. 100개가 동시에 비동기 통신을 하므로 한 대가 시간당 수만 건을 시도하고, 전체 감염 대수가 지수 함수로 늘어난다.
• 은닉부(파일리스 실행): 디스크에 파일을 만들지 않기 때문에 2001년 당시 시그니처 기반 백신의 디스크 검사로는 잡히지 않았다. 탐지는 메모리·네트워크·로그 영역의 문제가 됐다.
• 작전부(날짜 스케줄러): 웜 내부의 날짜 비교 하나가 전파/공격/휴면을 결정한다. 별도 C2 서버가 필요 없는 자율 임무 수행 구조로, 이후 랜섬웨어·와이퍼의 '예약 실행' 설계와 같은 계보다.
• 변종의 확장(CRv2): 백도어를 설치해 웜이 지나간 뒤에도 사람이 다시 들어올 수 있는 문을 남겼다. 전파형 악성코드가 지속적 접근(Persistence)을 결합한 초기 예다.

4. 피해 규모/영향 — 숫자와 실제 사례

• 2001-07-19 (CRv1 최대 확산): CAIDA 분석 기준 하루 359,000대 감염. 즉 14시간 남짓에 35만 대가 넘는 서버가 감염됐다. 확산 지역은 북미·유럽·아시아 (중국·인도 포함)에 집중됐다.
• 2001-07-31 (CRv2): 월이 바뀌며 휴면에서 깨어난 웜이 재확산해 다시 30만 대 규모를 기록했다. "패치하지 않으면 매달 반복된다"는 사실이 확인됐다.
• 2001-08-04 (Code Red II): 같은 취약점으로 두 번째 웜이 등장. 전파·백도어로 성격이 바뀌었고, eEye는 이 웜의 기원을 필리핀 마카티(2000년 ILOVEYOU 웜과 같은 지역)로 추정했다(문서상 추정 표기).
• 2001-09-18 (Nimda): .ida 벡터를 포함해 웹·이메일·공유폴더를 함께 쓰는 다중 벡터 웜으로 이어지며 2001년은 '웜의 해'가 됐다.
• 경제적 피해: 추정치는 기관별로 크게 갈린다 — 약 24억 달러라는 수치가 가장 널리 인용되지만, 감염 호스트 수(수십만~100만 대)와 청소·차단 비용 산정 방식에 따라 편차가 크다. 숫자보다 중요한 것은 "패치가 나와 있었는데도 이 규모가 났다"는 점이다.
• 인터넷 차원의 영향: 전 세계 백본에서 웜 스캔 트래픽이 관측됐고, 이것이 인터넷 규모 감염 측정(CAIDA의 Code-Red 분석)과 CERT 권고 CA-2001-19 같은 조기경보 체계가 실전에서 작동한 대표 사례가 됐다. 또한 업계가 IIS 기본 구성에서 불필요한 ISAPI 스크립트 매핑을 제거하는 방향으로 움직이는 계기가 됐다.
• 방어자 측 성과: Kenneth D. Eichman이 차단 방법을 처음 알아내 백악관에 초청받았고, 관리자들은 포트 80 차단 → 패치 → 매핑 제거 순서의 실전 대응 절차를 처음으로 대규모로 연습하게 됐다.

5. PoC — 교육용 모의 재현 (로컬 가상 환경 전용)

PoC 1 — '길이 검사 없는 복사' 하나가 제어 흐름을 바꾸는 구조 (가상 스택 객체)

실제 취약점을 재현하지 않고, 버퍼 크기를 넘겨 쓰는 순간 복귀 주소가 덮이는 구조만 파이썬 객체로 모사했다. 공격 요청에 쓰인 4바이트는 랩에서 만든 임의 주소다.

# codered_lab_poc.py (발췌) — 가상 스택 프레임, 네트워크 송수신 0건
class FakeStackFrame:
    BUF_SIZE  = 32                 # 모사용 고정 버퍼 크기(바이트)
    RET_LEGIT = 0x00401000         # 정상 복귀 주소 (가상)

    def copy_query_into_buffer(self, query: bytes):
        """취약점의 본질: 길이 검사 없이(=bounds check 없음) 복사."""
        for i, b in enumerate(query):      # <-- 길이 검사가 없다
            if i < self.BUF_SIZE:
                self.buffer[i] = b
            else:                          # 버퍼를 넘어 '복귀 주소'를 덮는다
                off = i - self.BUF_SIZE
                if off < 4:
                    self.saved_ret = (self.saved_ret & ~(0xFF << (8 * off))) | (b << (8 * off))

실행 결과(실제 출력):

[PoC 1] '.ida 요청 한 줄'이 제어 흐름을 바꾸는 구조 (실행 결과)
  - 정상 요청: /default.ida?NNNN (짧은 질의)
  [정상] 요청 길이   30B
      버퍼 앞 16B : b'GET /default.ida'
      저장 복귀주소: 0x00401000  (정상 0x00401000)
      제어 흐름 탈취: 아니오 (정상 반환)
  - 공격 요청: 버퍼(32B)보다 긴 질의 → 복귀 주소 4바이트가 덮인다
  [공격] 요청 길이   40B
      버퍼 앞 16B : b'AAAAAAAAAAAAAAAA'
      저장 복귀주소: 0x7801c4b1  (정상 0x00401000)
      제어 흐름 탈취: 예  ⚠️  -> 공격자 코드로 점프
  * 위 4바이트는 랩에서 만든 임의 주소다. 실제 Code Red가 쓰는 값을 옮기지 않았다.
  * 결과 요약: 점검한 2건 중 탈취 성립 1건 — 방어의 근거는 '길이 검사 부재' 하나다.

읽는 법: 30바이트 요청은 버퍼(32B) 안에서 끝나 복귀 주소가 그대로지만, 40바이트 요청은 버퍼를 8바이트 넘겨 복귀 주소 4바이트가 통째로 교체된다. 실제 웜이 하는 일은 여기에 '덮는 값'과 '그 뒤에 오는 기계어'를 정교하게 배치하는 것뿐이다 — 취약점 자체는 이 8바이트 오버플로 하나다.

PoC 2 — 날짜에 따라 행동이 바뀌는 3단계 상태 기계

Code Red의 가장 독특한 설계다. 서버에서 명령을 받는 C2가 없어도, 날짜 하나로 전파·공격·휴면이 갈린다.

# codered_lab_poc.py (발췌) — 날짜만 보고 행동을 결정 (외부 통신 없음)
def codered_phase(day_of_month: int, year_ok=True):
    if day_of_month <= 19:
        return "PHASE-1 (전파)", "100개 스레드가 무작위 IP를 향해 동시 스캔"
    if day_of_month <= 27:
        return "PHASE-2 (플러드)", "고정 IP(백악관 서버)로 대량 요청 폭주"
    return "PHASE-3 (휴면)", "전파·공격 모두 중단, 메모리에만 대기(재부팅 시 소멸)"

실행 결과(실제 출력):

[PoC 2] 날짜에 따라 달라지는 3단계 상태 기계 (실행 결과)
  7월  1일 -> PHASE-1 (전파)
              행동: 100개 스레드가 무작위 IP를 향해 동시 스캔
  7월 13일 -> PHASE-1 (전파)
              행동: 100개 스레드가 무작위 IP를 향해 동시 스캔
  7월 19일 -> PHASE-1 (전파)
              행동: 100개 스레드가 무작위 IP를 향해 동시 스캔
  7월 20일 -> PHASE-2 (플러드)
              행동: 고정 IP(백악관 서버)로 대량 요청 폭주
  7월 24일 -> PHASE-2 (플러드)
              행동: 고정 IP(백악관 서버)로 대량 요청 폭주
  7월 27일 -> PHASE-2 (플러드)
              행동: 고정 IP(백악관 서버)로 대량 요청 폭주
  7월 28일 -> PHASE-3 (휴면)
              행동: 전파·공격 모두 중단, 메모리에만 대기(재부팅 시 소멸)
  7월 31일 -> PHASE-3 (휴면)
              행동: 전파·공격 모두 중단, 메모리에만 대기(재부팅 시 소멸)

포인트: 7월 19일이 폭발 지점인 이유도, 8월 1일이 되면 다시 30만 대가 감염된 이유도 이 한 함수에 있다. C2 인프라 없이도 '예약된 작전'이 가능하다는 사실이 Code Red 이후 악성코드 설계의 기본값이 됐다.

PoC 3 — '14시간 359,000대' 확산 곡선의 모델 재현

관측된 폭발 속도를 로지스틱 확산 모델로 재현한다(교육용 모델이며 실제 감염 데이터가 아니다). 웜은 초기 감염 대수에서 출발해 시간당 고정 비율로 늘고, 11시간째부터 패치·차단·재부팅이 유입되며 증가세가 꺾인다고 가정했다.

# codered_lab_poc.py (발췌) — 모델 상수와 곡선
def model_hosts(hours, host_pool=2_000_000, r0=0.62, n0=1000):
    n = n0
    for h in range(1, int(hours) + 1):
        slowdown = 1.0 / (1.0 + max(0.0, h - 11.0) * 0.75)   # 대응 유입
        n += r0 * n * (1 - n / host_pool) * slowdown
        yield h, int(n)

실행 결과(실제 출력):

[PoC 3] '14시간 만에 359,000대'의 모델 재현 (실행 결과)
   경과시간 | 감염 추정 대수 | 대조 (CAIDA·eEye 관측, 2001-07-19)
    1시간    |        1,619대 |
    2시간    |        2,623대 |
    3시간    |        4,247대 |
    4시간    |        6,874대 |
    5시간    |       11,122대 |
    6시간    |       17,980대 |
    7시간    |       29,028대 |
    8시간    |       46,764대 |
    9시간    |       75,080대 |
   10시간    |      119,883대 |
   11시간    |      189,755대 |
   12시간    |      250,605대 |
   13시간    |      304,967대 |
   14시간    |      354,274대 |  <- 관측치 359,000대(14시간 만에 도달)
   15시간    |      399,460대 |
   16시간    |      441,186대 |  <- 증가세 둔화(패치·차단·재부팅 유입)
  * 관측 대조: 실제 2001-07-19 하루 감염은 359,000대(CAIDA) — 모델은 14시간 지점 354,274대 (오차 1.3%)

해석: 지수 성장 구간에서는 3시간마다 감염 규모가 4배씩 뛴다. 즉 "1만 대를 잡을 때"와 "30만 대를 잡을 때"는 대응 난이도가 완전히 다르다 — 웜 대응의 승부는 곡선의 앞부분에서 결정된다. 그래서 오늘날의 대응 원칙도 '탐지 즉시 격리(네트워크 차단 우선)'다.

PoC 4 — 정적 시그니처는 '한 글자'만 바꿔도 무력화된다

2001년의 흔한 대응은 HTTP 요청 문자열 매칭이었다. 그러나 HTTP는 대소문자와 퍼센트 인코딩을 허용하므로, 문자열 하나를 그대로 매칭하는 규칙은 쉽게 우회된다.

# codered_lab_poc.py (발췌) — 정규화 없는 시그니처 vs 정규화 시그니처
SIG = b"/default.ida?"        # 흔히 쓰던 정적 시그니처(교육용 예시)
def naive_block(req): return SIG in req                     # 대소문자 구분 + 정규화 없음
def normalize(req): return urllib.parse.unquote(req.decode("latin-1")).lower().encode()
def norm_block(req):  return SIG in normalize(req)

실행 결과(실제 출력):

[PoC 4] 정적 시그니처는 '한 글자'만 바꿔도 무력화된다 (실행 결과)
   GET /default.ida?NNNN HTTP/1.0           단순시그니처=True  정규화시그니처=True
   GET /Default.Ida?NNNN HTTP/1.0           단순시그니처=False 정규화시그니처=True
   GET /default%2Eida?NNNN HTTP/1.0         단순시그니처=False 정규화시그니처=True
   GET /default.ida%3fNNNN HTTP/1.0         단순시그니처=False 정규화시그니처=True
   * Code Red II는 다른 인코딩·다른 버퍼 구조를 썼다 → 시그니처 1개로는 부족하다.
   * 결론: 패치(근본)가 1순위, 시그니처는 보조. 패치율이 낮으면 시그니처만으로는 못 막는다.

핵심: 단순 매칭은 4건 중 1건만 잡았고, URL 디코딩 + 소문자 정규화를 거치자 4건 모두 잡혔다. 그런데도 이것은 '이미 알려진 형태'를 잡는 데 그친다 — SQL Slammer처럼 바이트 단위로 완전히 다른 벡터가 나오면 시그니처는 무의미해진다. 그래서 순서는 언제나 ① 패치·노출면 제거 → ② 행위·이상 징후 탐지 → ③ 시그니처다.

6. 방어 방법/교훈 — 어떻게 막았고, 무엇을 배우나

• ① 패치가 1순위 (근본 대응): 원인은 CVE-2001-0500 하나였다. MS01-033 패치는 웜보다 한 달 먼저 나왔고, 적용했으면 감염되지 않았다. Code Red는 이후 모든 조직에 '고위험 패치 SLA(예: 24~72시간 이내)'를 정당화한 사례다. 자산 목록 없이는 SLA도 없다 — 인터넷에 노출된 서비스 인벤토리가 출발점이다.
• ② 노출면 제거 (완화): Index Server를 쓰지 않는다면 제거하고, .ida/.idq 같은 불필요한 ISAPI 스크립트 매핑을 삭제한다. "기본 설치에 딸려 온 기능"이 곧 공격면이다 — 오늘날의 기본 자격증명·기본 포트·불필요 플러그인 정리와 같은 원칙이다.
• ③ 웹서버 최소 권한·경계: 웹 프로세스 권한(IWAM 등)을 최소화하고, 서버에서 임의 프로세스 실행·파일 쓰기·아웃바운드 연결이 가능하면 익스플로잇 1건이 곧 서버 장악이 된다. 서버 대역의 아웃바운드 제어(전파 스캔 차단)는 확산 속도를 직접 낮춘다.
• ④ 파일리스 악성코드를 전제로 한 탐지: Code Red는 디스크에 흔적을 남기지 않았다. 디스크 시그니처 스캔만으로는 부족하며, 메모리 무결성 검사·비정상 프로세스/스레드 급증 (전파 스레드 100개), 웹 로그의 비정상 패턴(긴 질의 문자열, 존재하지 않는 .ida 반복 요청), 대량 아웃바운드 연결을 함께 봐야 한다.
• ⑤ 로그 기반 조기경보: 당시 Apache 서버들도 GET /default.ida?…를 로그에 남겼다. "우리 서버가 대상이 아니어도 남의 웜이 우리 로그에 찍힌다" — 웹 로그·방화벽 로그의 이상 요청 탐지는 확산 초기에 가장 값싼 조기경보였다.
• ⑥ 재부팅 ≠ 복구: 메모리 상주형 웜은 재부팅으로 사라지지만, 스캔은 계속돼 즉시 재감염된다. 순서는 네트워크 차단 → 패치/매핑 제거 → 재부팅 → 검증이다. 오늘날 랜섬웨어 사고에서도 "재부팅·재설치"만으로 끝내면 같은 사고가 반복된다.
• ⑦ 시그니처는 보조 수단일 뿐: PoC 4가 보여준 대로 대소문자·퍼센트 인코딩 하나로 정적 규칙이 뚫린다. 규칙을 쓰더라도 프로토콜 정규화(디코딩 후 비교)를 강제하고, 규칙 1건이 아니라 행위(전파 시도 패턴) 단위로 판단한다. CRv1과 CRv2가 다른 문자·다른 인코딩을 쓴 것도 같은 이유다.
• ⑧ 날짜·조건부 로직을 가정한 사고대응: 특정 날짜에만 공격하는 악성코드는 탐지 공백 기간을 만든다(휴면기에는 아무 흔적이 없다). '조용한 시기'를 방어자 정비 기간으로 쓰고, 알려진 조건(날짜·도메인·C2 주소)을 차단 목록·모니터링 규칙으로 미리 준비한다.
• ⑨ 교훈 — "패치가 나와 있는데 왜 뚫리는가": Code Red의 진짜 교훈은 기술이 아니라 운영이다. 취약점 공개와 실제 공격 사이의 시간(1개월)이 이렇게 짧을 수 있고, 인터넷에 노출된 서버의 패치율은 늘 예상보다 낮다. 노출 자산 파악 → 위험도 기반 패치 SLA → 노출면 제거 → 네트워크 격리의 4단계가 2001년에 이미 답이었고, 25년이 지난 지금도 그대로 유효하다.

출처

• Wikipedia — Code Red (computer worm): 2001-07-15 관측 · 2001-07-19 359,000대 · eEye 발견자 · 변조 문구 · 날짜별 3단계 행동 · Apache 로그 예시 — en.wikipedia.org/wiki/Code_Red_(computer_worm)
• Wikipedia — Code Red II: 동일 벡터·다른 페이로드, 서브넷 편향 확률 분포, 'X' 채움 문자, 백도어, 마카티 기원 추정 — en.wikipedia.org/wiki/Code_Red_II
• CERT/CC Advisory CA-2001-19 — 'Code Red' Worm Exploiting Buffer Overflow In IIS Indexing Service DLL (2001-07-17) — cert.org/historical/advisories/CA-2001-19.cfm
• Microsoft Security Bulletin MS01-033 — Unchecked Buffer in Index Server ISAPI Extension Could Enable Web Server Compromise (2001-06-18) — learn.microsoft.com/…/ms01-033
• NVD — CVE-2001-0500 (IIS Index Server ISAPI 확장 버퍼 오버플로) — nvd.nist.gov/vuln/detail/CVE-2001-0500
• eEye Digital Security — ANALYSIS: .ida "Code Red" Worm (2001-07-17) — web.archive.org/…/eeye AL20010717
• CAIDA (David Moore, Colleen Shannon) — The Spread of the Code-Red Worm (CRv2) — caida.org/catalog/papers/2001_code-red_spread
• CAIDA — Code-Red 분석 개요(2001년 감염 데이터·확산 곡선) — caida.org
• Steve Friedl (Unixwiz.net) — Code Red II analysis (2001-08-22) — unixwiz.net/techtips/CodeRedII.html
• NSF — Discoveries: The Spread of the Code Red Worm (확산 애니메이션) — nsf.gov/news/special_reports/cyber

※ 본문의 PoC 코드는 구조 이해 목적의 교육용 모의 코드이며, 실제 Code Red/Code Red II 샘플·셸코드· 익스플로잇 문자열(%u 인코딩 페이로드 포함)과 실제 공격 대상 정보는 포함하지 않습니다. 모든 실습은 인터넷과 분리된 격리 랩 VM을 전제로 합니다.

함께 읽기: 🐛 Morris Worm (1988) — 최초의 자기복제 웜 · 🐌 SQL Slammer (2003) — 376바이트 패킷 하나로 10분 · 🪱 Conficker (2008) — 자가 방어형 웜의 진화 · 💀 WannaCry (2017) — EternalBlue로 되살아난 자기전파형 공격 · 🦠 Mirai (2016) — IoT를 무기로 바꾼 봇넷