취미로 해킹#3(WebGoat)

해킹을 취미로, 취미로 해킹.
※ "취미로 해킹" 콘텐츠는 안전한 정보보안 생태계에 기여하기 위한 합법 해킹만을 지향합니다.

< 강좌 내용을 책으로 보려면: 종이책/전자책(링크) >

취미로 해킹#3(WebGoat)

우리는 여기서 웹 해킹의 클래식 워게임인 WebGoat를 마스터할 것입니다. 완역된 한글 자료를 바탕으로, 처음부터 끝까지 모든 레슨을 답습하고 챌린지를 실습할 것입니다.

웹 브라우저로 보이는 영역 아래 감추어진 부분에 대해서 접하게 됩니다. 통신하는 데이터를 가로채고 변조하며 서버에게 조금은 특별한 정보들을 요구할 것입니다. 일반인은 접근할 수 없는 프라이빗한 페이지에도 접근해볼 것입니다. 데이터베이스에 저장된 타인의 개인정보를 당연한 듯이 추출해볼 것입니다. 웹 사이트를 매개로 타 사용자를 기만해 보기도 할 것입니다.

이를 통해 다양한 웹 관련 보안 취약점들을 발견하고 보완하는 방법에 대해서 알게 되실 것입니다. 보다 세부적으로는, SQLI, XXE, 인증 우회, JWT, XSS, IDOR, 접근통제, 역직렬화, CSRF, 취약 컴포넌트, 패스워드 초기화, HTML 템퍼링과 관련된 취약점에 대한 이론과 실습이 포함되어 있습니다.

기타 번거로움을 경감하기 위하여, 실습 환경 구성을 함께 진행하고 챌린지 풀이에 필요한 모든 툴과 데이터가 제공됩니다.

 
[Q1] 웹고트의 어떤 버전을 사용하나요?
[Ans] OWASP 2017이 적용된 M24 버전을 사용합니다.

[Q2] "취미로 해킹#1~2"를 수강하지 않았습니다. 근데 이것부터 진행해도 문제가 없을까요?
[Ans] 네, 문제 되지 않습니다. #2는 해킹과 관련된 전반적인 체험에 중점을 둔 과정이고, #1은 시스템 해킹과 관련된 과정입니다. 그런데 #3은 웹 해킹에 해당하는 과정이므로 직접적인 관련성은 낮습니다. 하지만 실제 해킹 대회에 참가하는 내용을 다루는 #5에서는 시스템과 웹을 포함한 보다 넓은 영역들을 다루기에, 이전 과정들이 무의미하지는 않겠습니다.

[Q3] 완강 시 어떤 능력을 획득하게 되나요?
[Ans] 보안을 모르는 초보 개발자가 개발한 웹 사이트가 장난감으로 보일 수 있습니다. 다만 주의하실 사항으로, 여기에서 다루는 내용이 웹 해킹의 전부가 아닙니다. 주요 취약점들을 바탕으로 몇몇 스킬을 구사할 수 있는 정도입니다. 이제 드디어 스스로 무언가 할 수 있게 됩니다.

"가볍게 시작하는 취미로 해킹" 로드맵 확인하기