적자생존

[보안] OWASP 취약점 개념 및 적용 사례

웹 서비스 보안 진단 역량을 기르기 위해, OWASP Top 10 주요 취약점을 직접 구현하고 공격 시나리오를 검증하는 실습환경을 구축하고 있다. . 이번 프로젝트에서 핵심으로 다루는 필수 및 선택 구현 목록을 정리해 보았다. 그 전에!OWASP란?OWASP(Open Worldwide Application Security Project)는 웹 애플리케이션에서 가장 위험도가 높고 빈번하게 발생하는 주요 보안 취약점 10가지를 선정하여 발표하는 글로벌 오픈소스 보안 연구 단체이다. 이번 프로젝트에서는 가상 통신사 BSS/OSS 환경을 타겟으로 외부 웹 포털부터 폐쇄망 과금 DB까지 이어지는 복합 공격 체인 시나리오 형태로 연계하여 실제 침투 흐름에 맞게 적용 사례를 구성했다. [필수 구현] A01 -..

1. MFA란?MFA(Multi-Factor Authentication)는 다중 인증을 의미한다.아이디와 비밀번호 외에 추가 인증 수단을 사용하여 로그인하는 방식으로, 계정 탈취 및 무단 접근을 방지하는 데 도움이 된다.AWS 계정의 보안을 강화하기 위해 MFA를 설정해 보았다. 2. MFA 설정 과정 1. 핸드폰에 Google Authenticator 앱 설치 2. 로그인 후 계정이름 클릭 > 보안 자격 증명 클릭 3. MFA 할당 클릭 4. MFA 디바이스 이름 및 옵션 선택 5) 인증 코드 입력QR 코드 표시 클릭 > Google Authenticator 앱 실행 > + 클릭 > QR 코드 스캔 QR 코드를 스마트폰 인증 앱으로 스캔하고 인증 앱에 표시되는 일회용 코드를 순서..

클라우드 일경험 프로젝트 사전 교육을 수강하며 정리한 내용입니다. 학교 전공 수업때 배웠던 내용이고, 이번 교육 때 한번 더 학습하면서 정리해보았다.목표 ) 개념을 확실히 하기 ! 1. 클라우드 컴퓨팅이란? 개념부터 가상화까지클라우드를 공부하기 전에!! 서버가 무엇인지부터 짚고 시작하겠다. 서버와 데이터센터서버는 요청을 받아 처리하고 결과를 응답해 주는 시스템 또는 소프트웨어이다.하드웨어로 보면 CPU, 메모리, 스토리지, NIC 등으로 이뤄진 장비이고, 소프트웨어로 보면 요청을 처리하는 웹 서버, DB 서버 같은 애플리케이션이다. 이런 서버와 네트워크, 스토리지, 보안장치, 냉각시설을 한곳에 모아 IT 장비가 안정적으로 동작하도록 지원하는 시설이 데이터센터다. 클라우드 컴퓨팅이란?클라우드 컴퓨팅은 인터..

준비 이유시험 본지 시간이 꽤 됐지만 뒤늦게라도 포스팅해본다. 개발자로 근무하면서 개발서버, 운영서버를 직접 테스트해보고 QA 분들과 소통하며 테스팅의 중요성을 깨닫게 되었다.QA 분들이 테스트를 진행하기 전에, 내가 먼저 체계적으로 테스트를 하면 더 업무가 효율적으로 이루어질 것이라 생각해 테스트에 대해 자세히 배워보고 싶다는 생각이 강해졌던 것 같다.그렇게 자연스럽게 해당 직무에 관심이 생기며, 자격증까지 알아보게되었다. 자격증을 따는 것은 실무를 제외하고 가장 쉽고 빠르게 해당 직무의 기초 개념을 쌓을 수 있는 방법이라 생각한다. 처음엔 ISTQB를 접했지만, 응시료가 만만치 않아(^ㅠ) CSTS로 방향을 틀었다. 시험 정보https://edu.tta.or.kr/edu/contents.do?ke..

재귀 쿼리는 자기 자신을 참조하여 쿼리를 실행하는 것이다.영어로 Recursive CTE이다. CTE란?Common Table Expression의 약자WITH 문을 사용하여 만든 임시 테이블하나의 쿼리문 범위 내에서만 존재하며, 여러번 참조될 수 있는 일회성 테이블재사용이 필요한 서브 쿼리를 간결하게 표현할 때 유용 [CTE 기본 구조]WITH CTE_이름 AS ( -- CTE 내부의 쿼리 정의 SELECT ...)SELECT * FROM CTE_이름   재귀적(Recursive) CTERecursive CTE(재귀 공통 테이블 표현식)는 재귀적으로 데이터를 처리할 수 있는 CTE의 확장 버전주로 계층적 데이터(예: 조직 구조, 트리 구조)를 탐색하거나, 반복적인 계산이 필요한 경우에 사용 ..

파일 압축과 풀기 tar(Tape ARchiver)tar [파일과 디렉터리들] … : 하나의 파일로 묶기tar tvf [test.tar]: 묶여 있는 파일 미리보기tar xvf [test.tar] -C /tmp : test.tar를 /tmp에 풀기x: 파일 풀어줌, C: 풀릴 위치 지정rm -rf test.tar: tar 파일 제거star 명령어: 복사/이동 시 보안 콘텍스트 유지되게 원래 속성 유지GNU zipgzip [/root/install.log]: 파일 압축gzip -d [/root/install.log.gz]: 압축 파일 풀기gzip -r [/root]: 해당 디렉터리의 모든 파일/디렉터리 각각 압축 bzip2: gzip 보다 압축률 좋음   RPM RedHat Package Manager: ..

파일시스템 보안 명령어 정리 chroot: 어느 디렉터리를 가상의 최상위 / 디렉터리로 만들어 cd .. 했을 때 더이상 상위 디렉터리로 이동 못하게chcon: 파일 B의 보안설정이 파일 A의 보안설정과 동일하게 설정되도록chattr: 속성 변경+i : 파일 속성 변경, 추가, 삭제 등 불가lsattr: 속성 보기SetUID: 파일의 소유자 권한으로 파일을 실행chmod 명령어 뒤에 4xxx를 붙이면 설정됨setGID: 파일을 소유한 그룹의 권한으로 파일을 실행sticky bit: 이 비트가 설정된 디렉토리는 공용 디렉토리가 되지만, 파일을 소유한 사용자만 그 파일을 삭제하거나 수정할 수 있음IPC(Inter-Process Communication): 서로 다른 프로세스 간에 데이터를 주고받거나 통신을 ..

프로시저란?어떠한 동작을 일괄 처리하기 위한 쿼리문의 집합으로, MySQL에서의 메서드라고 보면 된다. 함수처럼 매개변수를 받고 그에 따라 결과를 나타내는 것이 가능하다.SQL 명령의 묶음으로, 프로시저로 묶인 SQL 문 질의들은 처리될 때 하나의 쿼리로 해석된다.  프로시저 사용법DELIMITER //CREATE PROCEDURE 프로시저명(매개변수)BEGIN SQL 문1; SQL 문2;END//DELIMITER ; "DELIMITER //" 을 선언해서 기존 구분 문자인 ";" 에서 "//"로 바꿔준다.CREATE PROCEDURE로 프로시저를 등록한다.프로시저 등록을 마친 후 "DELIMITER ;"을 통해 다시 구분 문자를 ";"으로 바꿔준다. call 프로시..

자바 메모리 구조 메서드 영역: 클래스 정보 보관스택 영역: 실제 프로그램이 실행되는 영역힙 영역: 객체(인스턴스가 생성되는 영역) (new 키워드) 메서드 영역클래스 정보를 보관하는 영역 클래스 정보 - 클래스, 메서드 등의 실행 코드 static 영역 - static 변수 보관상수 풀 - 상수 관리 스택 영역실제 프로그램이 실행되는 영역 지역 변수, 중간 연산 결과, 메서드 호출 정보 등 힙 영역인스턴스가 생성되는 영역 객체 배열가비지 컬렉션이 이뤄지는 영역  같은 클래스에서 생성된 객체여도 인스턴스 내부 변수 값은 다를 수 있지만 메서드는 공통된 영역을 공유한다.따라서 메서드는 메서드 영역에서 공통으로 관리되고 실행된다. 멤버 변수(필드)의 종류 인스턴스 변수static이 붙지 않은 멤버 변수인스턴..

AOP 개념에 관한 이전 포스팅https://yeoncoding.tistory.com/732 [Spring] AOP란Spring AOP 관점 지향 프로그래밍(AOP-Aspect Oriented Programming) AOP는 관점을 기준으로 묶어 개발하는 방식을 말한다. 관점(aspect)이란, 어떤 기능을 구현할 때 그 기능을 핵심 기능과 부가 기능으로 구분yeoncoding.tistory.com  AOP(Aspect-Oriented Programming)를 이용하여 HTTP 요청과 응답을 로깅했습니다. package contest.collectingbox.global.config;import jakarta.servlet.http.HttpServletRequest;import lombok.extern...