웹 취약점 진단 기술(누구나 쉽게 따라 하는)

6명의 전문가 필자가 참여해 집필한

KISA 웹 취약점 진단 22개 항목 완벽 실습서이자

웹 취약점 진단의 표준 지침서



여동균 외 5명의 필자가 참여해 집필한 '누구나 쉽게 따라 하는 웹 취약점 진단 기술'은 KISA 웹 취약점 진단 22개 항목 완벽 실습서이며 또한 웹 취약점 진단의 표준 지침서이다. 더 나아가 웹 취약점 진단의 초보자들에게 쉽게 다가서고, 빠른 기술력 습득과 이해에 초점을 맞춘 길라잡이가 되어 줄 책이다.



취약점 진단자 및 공격자의 입장에서 바라본 시각으로 기술한 본 도서는, 국내의 웹 취약점 진단의 표준이 되는 가장 상세한 KISA의 웹 취약점 진단 가이드를 마스터 할 수 있도록 실습이 가능한 내용으로 구성하였다.

특히 취약점을 발견하는 데에 초점을 맞추었으며, 웹 진단은 가장 먼저 취약점을 선제적으로 찾아내는 게 중요하므로, 시큐어 코딩을 수행하는 개발자 및 서버 관리자 등의 취약점 조치와 대응자의 입장에서 서술한 책은 아니다.



초보자들조차 쉽게 다가서고, 빠른 기술력 습득과 이해하다



'웹 취약점 진단 기술' 저자들은 개발과 운영의 직무 분리 및 시스템을 분리하여 사용하듯이 공격자와 대응(방어)하는 측면은 서로 다르다는 것을 인식하고, 취약점을 효과적으로 찾는 방법을 학습하기를 권한다.

저자들이 이 책을 "진단 기술을 그냥 떠먹여 주는 책"이라고 표현할 만큼 이해하기 쉽게 설명해두었다. 따라서 웹 취약점 진단의 초보자들에게조차 쉽게 다가서고, 빠른 기술력 습득과 이해에 초점을 맞추었다. 정보보안, 사이버 보안 등 사회에서 보안의 중요성은 날로 커져가고 있지만 대학생, 취업준비생, 중?고등학생들에게는 관련학과나 전공자가 아니면 너무도 동떨어진 먼 나라 얘기처럼 다가가는 게 현실이다. 누구에게나 정보보안에 관심 있는 자들에게 기회를 주고 싶은 집필자들의 마음이 작용한 것이 바로 '누구나 쉽게 따라 하는 웹 취약점 진단 기술'이다.

머리말 _이 책을 읽기 전에 04



제1장 웹 취약점 진단 개요 11



제2장 웹 취약점 진단 상세 방법

- 운영체제 명령실행 취약점 33

- SQL 인젝션 취약점 37

- XPath 인젝션 취약점 50

- 디렉토리 인덱싱 취약점 52

- 정보노출 취약점 60

- 악성콘텐츠 취약점 69

- 크로스사이트 스크립팅 취약점 71

- 약한 문자열 강도(브루트포스) 취약점 92

- 불충분한 인증 및 인가 취약점 100

- 취약한 패스워드 복구 취약점 103

- 불충분한 세션 관리 취약점 104

- 크로스사이트 요청 변조(CSRF) 취약점 106

- 자동화 공격 취약점 110

- 파일 업로드 취약점 115

- 경로추적 및 파일다운로드 118

- 관리자 페이지 노출 취약점 122

- 위치 공개 취약점 126

- 데이터 평문 전송 취약점 134

- 쿠키변조 취약점 138

- 웹 서비스 메소드 설정 공격 142

- URL/파라미터 변조 취약점 146

- 기타(검증되지 않은 리다이렉트와 포워드) 취약점 150



[부록] 시스템 취약점 진단 기술

여동균 (주)이글루시큐리티 보안관제 팀장

(사)한국사이버감시단 이사

한국정보보호심사원협회 부회장