취미로 해킹#6(SquareCTF_RR)

"취미로 해킹"과 함께하는 해킹대회 챌린지!

 해킹을 취미로, 취미로 해킹.
※ "취미로 해킹" 콘텐츠는 안전한 정보보안 생태계에 기여하기 위한 합법 해킹만을 지향합니다.

< 강좌 내용을 책으로 보려면: 종이책/전자책(링크) >

취미로 해킹#6(SquareCTF_RR)

우리는 여기서 SquareCTF(2017)의 모든 온라인 챌린지를 완주할 것입니다. 처음부터 끝까지 모든 챌린지를 살펴보며 실습합니다.

SquareCTF는 SQUARE에서 주최 및 주관하는 국제 해킹 대회입니다.
* SQUARE: 페이팔의 경쟁사. 트위터 CEO(잭 도시)가 경영하는 기업.

강좌의 내용을 모두 완주하신다면, 98%의 참여자가 클리어하지 못한 챌린지도 해결하게 될 것이며, 기량이 향상됨에 따라 향후 더욱 고난도의 해킹 대회에도 도전하실 수 있을 것입니다.

해킹 대회의 챌린지 유형은 5가지를 다룹니다. 침투하여 시스템의 권한 탈취가 목적인 포너블 영역, 소프트웨어를 분해하여 마음대로 변조해보기도 하는 리버싱 영역, 웹 사이트의 허술한 보안 절차를 우회하여 주요 정보를 탈취하는 웹 영역, 주어진 암호문을 해독하여 비밀을 찾아내는 크립토 영역, 획득한 정보를 바탕으로 비인가 행위를 조사하는 포렌식 영역으로 구분됩니다.

개발자가 심어둔 특수한 기능을 확인하기 위해 프로그램을 일부 변조(패치)하기도 하고, 예상외의 문자열을 입력하여 오작동을 유발해 보고, 암호 시스템을 이해하여 이를 해독하는 프로그램을 작성해보며, 무수한 데이터 더미 속에서 규칙을 찾아 숨겨진 데이터도 획득하고, 공격 코드를 기계어로 한 땀 한 땀 제작하기도 하고, 일부러 망가트려 놓은 압축 파일을 재생하여 내부에 숨겨져 있던 파일을 복원하는 등을 함께 확인하시게 될 것입니다.

이러한 다양한 챌린지의 실습을 진행해가며 취약점을 발견하고 대응하는 방법에 대해서 학습하게 됩니다. 세부적으로는 IDOR, SQLI, 쉘코드, 스테가노그래피, 복호화, 깃 등과 관련된 버그 및 취약점에 대한 이론과 실습이 포함되어 있습니다.

효과적인 학습을 위하여, 당시 대회 상황을 재현한 가상 이미지를 제공합니다. 이를 통해 대회에 마치 참가한 것처럼 실습하실 수 있습니다. 더불어 툴 설치 방법과 사용법을 함께 다룹니다. 사용되는 툴은 Ghidra, Pwntools, QEMU, FTK Imager, Checksec, 010 Editor, Wireshark, Scapy, Zsteg, PIL, BGB 등이 있습니다.

강의는 현상과 원리를 함께 언급드리며 개별 학습을 최소화하는 것에 중점을 두었으나, 질문이 있으시다면 네이버 카페 "취미로 해킹(링크)"의 질문 게시판을 활용하여 주시면 감사하겠습니다.

기타 세부 사항은 프롤로그 영상을 참고하여 주시기 바랍니다. 해당 영상에는 추가 질문들과 이에 대한 답변이 포함되어 있습니다.