PART(1) : 기초 / 실무 공격 / 시큐어 코딩 ◀ 현재 강좌 SQL Injection 공격에서 가장 중요한 내용을 다루는 교육으로 기초에서부터 실무에서 사용되는 공격 기법들과 다양한 대응 방안과 시큐어 코딩을 배울 수 있습니다. 이후 진행될 교육의 기본이 되는 필수 교육입니다.
PART(2) : 응용 / 심화 / 고급 PART(1)에서 다루지 않은 응용 공격 기법과 고급 공격 기법들에 대한 교육입니다.
PART(3) : 자동화 도구 제작 배웠던 공격 기법들을 자동화 도구에 그대로 적용을 하여 Python 기반의 자동화 도구를 제작하는 교육입니다.
📖 왜 SQL Injection을 배워야 할까?
웹 해킹계의 인싸! 많은 사람들이 알고 있다는 것은 그만큼 해당 공격이 가지고 있는 영향력이 크다는 것이겠죠?
오늘날의 웹 어플리케이션들은 대부분 사용자 입력 값을 통해 동적으로 페이지를 구성하는 기능들이 많이 있습니다. 이런 환경 속에서, 공격자 관점에서는 공격 대상이 많아짐에 따라 효과적인 분석 방법 그리고 각 상황에 따른 공격 기법 등의 공격 기술을 필요로 합니다. 반대로, 방어자 관점에서는 효과적인 방어를 위해 인라인 구간에 보안 솔루션을 설치하거나, 시큐어 코딩을 하게 됩니다. 공격을 알아야 방어를 할 줄 알겠죠?
📖 실무에서 바로 적용 가능한 공격 기술!
효과적인 취약점 분석을 위해 다양한 공격 포인트에 대해 어떤 방법론으로 분석을 해야 되며, 어떤 환경에서 어떤 공격을 해야 될지 기준이 명확해지고 이에 따른 공격 기법들을 배우게 됩니다. 이러한 실무에서 사용하고 있는 각 공격 기법에 대해 자세히 다룹니다.
📖 각 DBMS에 대한 PHP 기반의 실습 게시판 제공!
PHP-MYSQL, PHP-MSSQL, PHP-ORACLE 기반의 실습 게시판을 제공해드리며, 이를 통해 다양한 DBMS별 SQL Injection 실습이 가능합니다.
📖 따라하면서 배우는 SQL Injection 공격 기법과 시큐어 코딩!
SQL Injection 공격 기법을 완성하기 위한 각 기술 요소들을 이론에서 끝나는 것이 아니라 DBMS별로 직접 실습을 진행합니다.
각 기능별 대응 방안을 자세히 살펴보고, 취약한 게시판에 대해 직접 시큐어 코딩 적용하는 실습을 진행합니다.
📖 교육을 통한 기대 효과
이제 막 SQL Injection을 공부하시는 분이라면, 본 교육이 가이드라인이 되어서 올바른 방향을 잡아드리겠습니다.
기존에 SQL Injection을 알고 계셨던 분이라면, 흩어져 있던 지식이 하나로 연결되는 마법을 경험할 수 있고 방향을 잡지 못하고 계신다면 올바른 방향을 잡아드리겠습니다.
🛠 여기서 다루는 프로그램
Burp Suite
APMSetup / MSSQL / ORACLE
QueryBox
※ Burp Suite 사용 방법은 본 교육에서는 다루지 않으며, "웹 해킹과 모의해킹 현업에 대한 이야기" 교육에서 기본적인 사용 방법을 참고하시면 됩니다.
🙋🏻♂️ 질문 QnA
Q. 교육을 듣고 싶은데 그전에 알아야 될 것들이 있나요? A. 기본적으로 웹 기초, SQL 기본 문법은 필수적으로 알고 들으셔야 하며, 추가적으로 웹 해킹 교육을 듣는 것도 추천합니다.
Q. 교육을 전부 듣게 되면 실무 진단을 할 수 있나요? A. 당연합니다! 그러나, 교육만 듣는다고 되는 것이 아닙니다. 공격이란 행위를 하기 위해 본인 스스로 공부를 하고 실습을 충분히 해야 만족할 만한 결과를 얻을 수 있습니다. 어떤 무엇가를 얻으려면 이에 수반되는 노력이 필요하기 마련입니다.
Q. 다른 모의해킹 교육들의 SQL Injection 교육에 비해 교육 시간이 많이 긴데 왜 그런가요? A. 본 교육은 SQL Injection만을 다루는 전문적인 교육이다 보니 길 수밖에 없는 것 같습니다. 물론 접근 방법도 완전히 다를 것입니다. 기존의 공격 접근 방법은 공격별로 각자 따로 따로 되어 있다면, 본 교육은 그것을 하나의 맥으로 이어서 붙였다고 보시면 됩니다. 그리고 내가 왜 이런 공격을 해야 되는지 이유를 찾을 수 있습니다.
Q. 비 전공자, 학생들도 들을 수 있나요? A. 당연합니다! 다만 아래의 필수 시청 강좌를 수강하시고 이해가 완료되시면, 본 교육을 수강하시면 됩니다.
I'm currently working at an information security company, so I wanted to take related training, and I applied for and attended this course. I am extremely satisfied as a result. The instructor's expertise is evident throughout the lecture.
The more I listened to the lecture, the more ashamed I felt about only performing superficial diagnostics until now. I didn't know what kind of attacks to perform in what environment, but through this training, I was able to clearly understand what kind of attacks to perform depending on the environment.
Also, the attack process that the instructor seems to have created personally will be really helpful in practical diagnostics. There are many times when I have to perform an attack... but I just stare blankly at the parameters and don't know what to do, but if I refer to this, I think I can smoothly perform the diagnostics sequentially. Oh, and that roadmap is amazing, I printed it out.
I've only watched it once, but I'm going to watch it two more times as the instructor said. Thank you, instructor.
I felt like I gained thorough knowledge because you explained each principle one by one. It was really good that I could immediately think of what to do first if I were to diagnose while organizing the process in my head. Since I am not a white hacker, I am currently creating an environment to practice using Django and Spring after listening to it twice more, and while developing, the process came to mind and I wanted to use filtering logic. Haha. Anyway, it was a great help and I am very happy! I want to watch the next lectures, Part 2, 3, and 4 soon!
[Total 3 times + @ Added after class]
After taking the first class, I started my career as a security consultant, and I was able to find SQLi vulnerabilities in almost every project with what I heard in CriHackTive's lecture. And most of all, when I saw consultants with n years of experience not understanding payload and asking me questions, I realized that CriHackTive's lecture had tremendous depth. Through repeated learning, I was able to use WAF bypass and efficient data retrieval in my practice. Thank you again.
I'm so happy that the process came to mind. Thank you so much for writing a great review! I get strength from your valuable review. Thank you so much. I will make the next lectures well and open them. Please show a lot of interest and support.^^ Have a nice weekend~
I am a practitioner. It was a solid lecture from theory to practice. I won't say which training it was, but when I took other trainings, I felt like it was lacking overall, but it feels like it was filled up. Thank you for the great lecture.
In the middle of the lecture, the content that said, "Think about the server-side DB query information while writing" really hit home. It's a good lecture~.