학습 로드맵으로 바로 가기
인프런보안 학습 로드맵

백엔드 개발자를 위한 보안 학습 로드맵

기능은 만들었는데,
보안은 어디까지 챙겨야 할까요?

API 권한 검사와 비밀번호 저장, AWS 접근 권한까지.
개념과 사고 사례를 먼저 보고, 지금 맡은 업무에 맞는 패키지를 골라보세요.

내게 맞는 패키지패키지별 강의 소개

보안도 잘 챙기고 싶은데 어디부터 공부해야 할지 막막한 분들께
도움이 되었으면 해서 강의들을 골랐습니다. 지금 맡은 업무에 맞는 패키지로 시작해
배운 내용을 내 코드에 하나씩 적용해보셨으면 합니다. 직접 만든 서비스를 더 안전하게 운영하고 싶은 여러분을 응원합니다.

- 향로, 인프랩 CTO -

노트북으로 일하는 향로 캐릭터

개별 강의 쿠폰보안·네트워크 카테고리 강의 구매 시30%

받기 완료쿠폰 받기
보안 제복을 입고 팔짱 낀 향로 캐릭터

패키지 쿠폰취준생~신입 패키지 구매 시35%

받기 완료쿠폰 받기
보안 기초 책을 든 취준생~신입 패키지 향로 캐릭터

패키지 쿠폰1~3년차 백엔드 패키지 구매 시35%

받기 완료쿠폰 받기
방패를 든 1~3년차 백엔드 패키지 향로 캐릭터

패키지 쿠폰1~3년차 클라우드 패키지 구매 시35%

받기 완료쿠폰 받기
클라우드 자물쇠를 든 1~3년차 클라우드 패키지 향로 캐릭터

패키지 쿠폰3~7년차 패키지 구매 시35%

받기 완료쿠폰 받기
갑옷을 입은 3~7년차 패키지 향로 캐릭터

패키지 쿠폰전체 로드맵 패키지 구매 시40%

받기 완료쿠폰 받기

발급 기간2026년 11월 15일 (일) 까지

사용 기한2026년 11월 15일 (일) 까지

이렇게 구현해도 괜찮을까요?

아래 상황이 왜 보안 문제가 될 수 있는지 강의 속 사례와 실습으로 살펴보세요.

  • API 권한

    로그인 여부를 확인한 뒤 글 번호를 받아 수정해요.

    글 번호를 바꾼 요청에는 어떤 일이 생길까요?

  • 로그인 응답

    없는 아이디와 틀린 비밀번호를 다른 메시지로 알려 줘요.

    로그인 실패 응답만 보고 무엇을 알아낼 수 있을까요?

  • SQL 입력값

    쿼리에 요청값을 문자열로 이어 붙여요.

    평범한 검색 요청이 어떻게 SQL 공격으로 바뀔까요?

  • 파일 다운로드

    파일명에서 ../만 지우고 파일을 내려줘요.

    문자를 지우는 것만으로 경로 조작이 막힐까요?

  • 파일 업로드

    jpg와 png 파일만 올릴 수 있도록 제한했어요.

    이미지 파일만 허용해도 공격이 가능한 경우는 언제일까요?

  • 비밀정보 관리

    DB 비밀번호는 설정 파일에 두고 Git에서는 제외했어요.

    저장소에 올리지 않으면 비밀번호도 안전할까요?

  • AWS 접근 권한

    애플리케이션의 IAM 역할에 넓은 권한을 줘요.

    공격자가 이 권한으로 어디까지 접근할 수 있을까요?

  • 배포 전 검사

    테스트가 통과하면 취약점 경고가 남아 있어도 배포해요.

    기능 테스트가 통과해도 배포를 멈춰야 하는 경우는 언제일까요?

학습 로드맵 패키지

지금 내 연차는?

연차를 고르면 그 연차에 맞춘 강의 묶음이 바로 나옵니다. 패키지로 담으면 35% 쿠폰이 함께 발급돼요.

받기 완료쿠폰 받기

보안 공부를 처음 시작한다면

취준생~신입 패키지

총 강의 가격154,000원
쿠폰 적용 시35%100,100원
추천 로드맵 보기
받기 완료쿠폰 받기
향로의 추천 이유

보안을 어디부터 볼지 막막하다면, 웹·서버·클라우드에서 확인할 항목과 실제 사고 사례부터 보셨으면 합니다.이어서 해시와 HTTPS 개념을 정리하고, 잘못된 대응을 우회하는 공격을 재현한 뒤 코드를 고치는 실습으로 마무리합니다.

커리큘럼강의 4개
  1. 보안을 어디부터 공부할지 막막하다면개발자/운영자 보안 교육 - 해킹 대응과 보안 강화 전략
  2. 실제 사고가 왜 났는지 알고 싶다면반면교사, 실제 사례로 배우는 정보보안 사고 분석과 대응 전략
  3. HTTPS와 비밀번호 해시를 설명하기 어렵다면외워서 끝내는 SSL과 최소한의 암호기술
  4. 요청값을 바꿨을 때 생길 문제를 점검한다면웹 개발자와 정보보안 입문자가 꼭 알아야 할 웹 해킹 & 시큐어 코딩

패키지별 강의 소개

보안 공부를 처음 시작한다면

취준생~신입 패키지 강의 4개

보안 개요와 사고 사례를 본 뒤 SSL 기초와 웹 보안 실습으로 이어갑니다.

공통 기초를 이미 익혔다면

1~3년차 백엔드 패키지 강의 6개

웹 기능별 보안 점검, Spring의 인증과 권한 처리, 암호화와 서명 구현을 공부합니다. 이어서 SQL Injection과 파일 다운로드, 업로드 취약점을 실습합니다.

공통 기초를 이미 익혔다면

1~3년차 클라우드 패키지 강의 5개

IAM과 S3 접근 권한, VPC 네트워크 보안을 공부합니다. 웹 기능별 점검과 SQL Injection, 파일 다운로드, 업로드 취약점도 함께 공부합니다.

AWS와 웹 보안의 기초를 익혔다면

3~7년차 패키지 강의 4개

배포 파이프라인에 보안 검사를 넣고, SQL Injection과 파일 업로드 취약점을 고급 공격 기법으로 점검합니다. KMS와 Secrets Manager로 비밀정보를 관리하고, GuardDuty로 보안 위협을 탐지하는 과정을 공부합니다.

1단계

공통 필수 4개

보안 개요, 사고 사례, SSL 기초, 웹 해킹과 시큐어 코딩 순서입니다.

개발자/운영자 보안 교육 - 해킹 대응과 보안 강화 전략 썸네일
지식공유자보안프로젝트
난이도입문
분량약 1시간 10분
강의 상세 보기

공통 필수 1

개발자/운영자 보안 교육 - 해킹 대응과 보안 강화 전략

향로의 추천 이유

보안도 챙겨야 한다는 건 알겠는데, 웹부터 볼지 AWS부터 볼지 정하기 어려울 수 있습니다. 처음 공부하신다면 저는 이 강의부터 권하고 싶습니다. 한 시간 남짓한 분량으로 웹과 서버, 클라우드에서 어떤 항목을 확인해야 하는지 먼저 볼 수 있습니다.

  • OSINT 노출 점검
  • OWASP Top 10
  • Windows 서버 계정
  • AWS 로그 모니터링
배우는 내용
  • 검색 서비스로 회사 도메인과 IP, 열린 포트가 외부에 어떻게 보이는지 점검하는 방법
  • OWASP Top 10 기준으로 본 웹 애플리케이션 취약점과 대응 방향
  • Windows Server 계정과 권한 관리, 악성코드가 의심될 때 쓰는 점검 도구
  • AWS IAM 권한 관리와 CloudTrail, VPC Flow Logs를 이용한 로그 모니터링
반면교사, 실제 사례로 배우는 정보보안 사고 분석과 대응 전략 썸네일
지식공유자널널한 개발자
난이도입문
분량약 2시간 50분
강의 상세 보기

공통 필수 2

반면교사, 실제 사례로 배우는 정보보안 사고 분석과 대응 전략

향로의 추천 이유

사고 사례를 볼 때는 우리 서비스에도 같은 문제가 있는지 같이 봤으면 합니다. 쿠키와 요청 파라미터를 조작한 공격부터 퇴사자의 접근 키가 남아 생긴 사고까지, 평소 개발하고 운영할 때 확인할 내용들이 나옵니다. 팀원들과 함께 보고 각자 맡은 기능을 점검해 보는 용도로도 추천드립니다.

  • 세션 탈취
  • 파라미터 변조
  • 악성코드 내부망 침투
  • 업데이트 서버 변조
  • 퇴사자 키 미회수
배우는 내용
  • 쿠키 값을 조작해 다른 사람의 세션을 가로챈 개인정보 유출 사고
  • 요청 파라미터의 번호만 바꿔 다른 사람의 정보를 볼 수 있었던 사고
  • 이메일 첨부 악성코드에서 시작해 내부망을 거쳐 DB까지 침투한 사고
  • 자동 업데이트 서버가 변조되어 관리자 PC가 감염된 사고
  • 회수하지 않은 퇴사자의 접근 키로 고객 DB에 계속 접근할 수 있었던 사고
외워서 끝내는 SSL과 최소한의 암호기술 썸네일
지식공유자널널한 개발자
난이도초급
분량약 1시간 50분
강의 상세 보기

공통 필수 3

외워서 끝내는 SSL과 최소한의 암호기술

향로의 추천 이유

비밀번호에 솔트를 왜 넣는지, HTTPS 인증서가 무엇을 증명하는지 설명하기 어렵다면 먼저 들어보셨으면 합니다. 암호화 코드를 작성하기 전에 이 정도 개념은 알고 쓰는 게 좋다고 생각합니다. 수식 대신 작은 숫자와 비유로 설명하고, 영상 분량도 두 시간이 안 됩니다.

  • 해시와 솔트
  • 대칭키와 비대칭키
  • 전자서명
  • PKI와 X.509 인증서
배우는 내용
  • 체크섬과 해시의 차이, 비밀번호를 저장할 때 솔트를 쓰는 이유
  • 대칭키와 비대칭키의 원리, 두 방식을 섞어 쓰는 이유
  • 전자서명으로 위조와 변조를 확인하는 방식
  • 공개키를 검증 없이 받을 때 생기는 중간자 공격과 이를 막는 PKI, X.509 인증서

수강평

대칭키와 비대칭키 시스템에 대해서는 정말 모호하게 알고 있었고, 최근에 사용한 Let's Encrypt 를 활용한 HTTPS를 적용한 것도 이런 원리로 동작하는지 전혀 몰랐습니다..덕분에 이런 개념들을 쉽게 터득할 수 있었던 것 같습니다.

r***님

웹 개발자와 정보보안 입문자가 꼭 알아야 할 웹 해킹 & 시큐어 코딩 썸네일
지식공유자크리핵티브
난이도초급
분량약 16시간 30분
강의 상세 보기

공통 필수 4

웹 개발자와 정보보안 입문자가 꼭 알아야 할 웹 해킹 & 시큐어 코딩

향로의 추천 이유

꺾쇠 문자를 막았는데도 XSS가 동작하고, 확장자를 검사했는데도 파일 업로드 공격이 가능한 경우를 다룹니다. 실습 코드에 잘못된 대응 방안을 적용해보고, 이를 우회하는 공격을 재현한 뒤 다시 코드를 고치는 구성이어서 골랐습니다. 보안 처리를 추가한 뒤 어떤 요청으로 다시 점검해야 할지 배우고 싶은 분께 추천드립니다.

  • SQL Injection
  • XSS
  • CSRF
  • 파일 업로드
  • 파일 다운로드
  • 파라미터 변조
  • URL 접근 제한
배우는 내용
  • SQL Injection, XSS, CSRF, OS Command Injection, XXE
  • 파일 업로드와 파일 다운로드 취약점
  • 파라미터를 바꿔 다른 사용자의 글을 수정하거나 삭제하는 공격과, 실제 처리 단계에서 권한을 다시 검사하는 방어 코드
  • 로그인하지 않은 사용자가 관리자 기능에 접근하는 URL 접근 제한 미흡 문제
  • 취약점마다 공격 원리, 공격 실습, 대응 방안, 시큐어 코딩 순서로 진행

수강평

급하게 이직 중 보안 지식을 알아야 할 부분이 있어 4일만에 완강했습니다.정말 보안에 대해서 1도 몰랐는데 웹의 전반적인 구조에서 어떤 부분에서 취약점이 발생할 수 있는지 알 수 있었습니다.인터넷에 찾았을 때 나오는 강의들은 대부분 너무 high level에서 overview만 짚어주는 느낌이였는데, 예제들까지 있어 조금 더 기억에 남고 취약점들이 어떠한 임팩트를 갖는지가 와닿았습니다.

f***님

관련 강의

기능별 점검과 암호학

웹 보안 원 포인트 레슨은 1~3년차 백엔드 패키지와 1~3년차 클라우드 패키지에 포함됩니다. 암호학 강의는 1~3년차 백엔드 패키지에 포함됩니다.

안전한 웹 사이트 제작을 위한, 웹 보안 원 포인트 레슨 썸네일
지식공유자크리핵티브
난이도초급
분량약 5시간 30분
강의 상세 보기

기능별 보안 점검

안전한 웹 사이트 제작을 위한, 웹 보안 원 포인트 레슨

향로의 추천 이유

보안 기초를 익혔고, 지금 만드는 기능에서 챙길 보안 항목을 찾아보고 싶을 때 추천드립니다. 업로드와 접근 제어, 로깅처럼 주제별로 수업이 나뉘어 있어 필요한 것부터 볼 수 있습니다.

  • 입력값 처리
  • 접근 제어 구현
  • 에러와 로깅
  • 안전한 파일 업로드
배우는 내용
  • 중요 정보를 전송하고 DB에 저장할 때의 주의사항
  • 사용자 입력값을 안전하게 처리하는 방법
  • 접근 제어 로직을 구현할 때 자주 하는 실수와 올바른 구현 방법
  • 관리자 페이지, 에러 처리, 주석, 로깅에서 생기는 보안 허점
  • 안전한 파일 업로드, 리다이렉트, 포워드 기능 구현
  • 프레임워크와 라이브러리 취약점, 신규 취약점에 대한 대응
"AI 딸깍의 시대" 피할 수 없다면, 마주하라: 시스템을 지키는 암호학과 보안 썸네일
지식공유자nhcodingstudio
난이도초급
분량약 9시간
강의 상세 보기

암호학 구현

"AI 딸깍의 시대" 피할 수 없다면, 마주하라: 시스템을 지키는 암호학과 보안

향로의 추천 이유

예제의 암호화 설정을 그대로 써 왔다면, 각 옵션을 왜 쓰는지도 한번 확인해 보셨으면 합니다. 운용 모드와 솔트, 반복 횟수를 코드로 확인하고 암호문이 바뀌면 검증이 실패하는 과정까지 다룹니다. 실습은 Node.js로 진행하며, 클라이언트 인증서를 쓰는 mTLS도 함께 공부하고 싶은 분께 추천드립니다.

  • AES-GCM
  • HMAC
  • PBKDF2
  • TLS와 mTLS
배우는 내용
  • AES 운용 모드(ECB, CBC, CTR)의 차이, HMAC과 AES-GCM 인증 태그
  • PBKDF2와 Scrypt 같은 키 유도 함수로 비밀번호와 키 다루기
  • AES-256-GCM과 PBKDF2를 조합한 파일 암호화 프로그램 만들기
  • X.509 인증서 서명을 직접 검증하고, 사설 루트 CA로 로컬 HTTPS 구성하기
  • node:tls로 TLS 서버와 클라이언트를 만들고 mTLS로 상호 인증하기
  • RSA, ECDSA, Ed25519 서명 방식 비교

수강평

백엔드 개발을 해보신 분들이라면 누구나 한 번쯤 Hash, Salt, AES, HTTPS 같은 내용을 구글링하며 파편적으로 찾아보셨을 겁니다.다만 바쁜 일정 탓에 깊게 파고들지 못하고, 대략 돌아가는 것만 확인한 뒤 넘어가는 경우가 많았을 텐데요.이 강의는 그렇게 흩어져 있던 개념들을 하나의 흐름으로 깔끔하게 연결해 줍니다.

정**님

학습 주제

인증과 권한

사용자마다 다른 권한은 어디서 검사할까?

스프링 시큐리티 완전 정복 [6.x 개정판] 썸네일
지식공유자정수원
난이도초급
분량약 37시간
강의 상세 보기

인증과 권한

스프링 시큐리티 완전 정복 [6.x 개정판]

향로의 추천 이유

로그인은 되는데 특정 API에서 403이 나오면 설정을 어디부터 봐야 할지 막막할 수 있습니다. 이 강의에서는 요청이 필터 체인을 통과하는 과정을 디버깅으로 따라갑니다. Spring으로 인증과 권한 처리를 직접 확장해야 하는 분이라면 이 강의를 추천드립니다.

  • 필터 체인
  • 세션 관리
  • 요청 단위 인가
  • 메서드 단위 인가
배우는 내용
  • 요청이 DelegatingFilterProxy와 FilterChainProxy를 거쳐 SecurityFilterChain에서 처리되는 흐름
  • 폼 로그인과 인증 아키텍처, 세션 관리와 동시 세션 제어
  • CSRF, CORS, SameSite 설정
  • authorizeHttpRequests로 하는 요청 단위 인가와 @PreAuthorize, @PostAuthorize로 하는 메서드 단위 인가
  • AuthorizationManager를 직접 구현하거나 DB에 저장한 권한 규칙으로 인가하는 방법
  • 회원 인증, REST 방식 인증, 회원 관리로 이어지는 실전 프로젝트

수강평

강의 시간이 36시간 55분이나 되다보니 처음 강의를 볼 때는 기겁하게 됩니다.하지만 이 강의의 진가는 디버거를 통해 내부 동작 원리를 상세하게 설명해주시는 부분입니다.스프링 입문 단계(core, web, jpa, boot 학습, ..)를 거친 단계에서 이 강의를 따라하면서 디버거를 통해 내부 자동 설정 및 동작 흐름을 익혀가시면 시큐리티에 대한 이해도가 빠르게 성장하는 것을 느끼실 수 있습니다.

땃*님

학습 주제

클라우드 보안

AWS 권한, 어디까지 줘야 할까?

Part 1은 1~3년차 클라우드 패키지에, Part 2는 3~7년차 패키지에 포함됩니다.

CloudNet@ - AWS 보안 가이드 Part 1 썸네일
지식공유자Ongja_CloudNet@
난이도초급
분량약 10시간
강의 상세 보기

클라우드 보안 Part 1

CloudNet@ - AWS 보안 가이드 Part 1

향로의 추천 이유

IAM 역할에 일단 넓은 권한을 줬거나, S3 버킷을 어디까지 공개해야 할지 고민 중이라면 이 강의부터 보셨으면 합니다. IAM 정책과 버킷 정책이 함께 있을 때 허용과 거부가 어떻게 결정되는지 실습한다는 점에서 골랐습니다. EC2와 S3를 써 본 다음 권한과 네트워크 설정까지 직접 맡게 된 분께 추천드립니다.

  • IAM 정책과 역할
  • 임시 자격 증명
  • VPC 보안
  • S3 접근 통제
배우는 내용
  • IAM 사용자, 정책, 역할, 리소스 기반 정책과 태그 기반 접근 제어(ABAC)
  • 유출된 액세스 키로 인스턴스를 무단 생성한 사례, 공개 저장소에 키가 노출된 사례 같은 계정 관련 사고 유형
  • assume-role로 받는 임시 자격 증명과 IMDSv1 취약점 시나리오
  • CloudTrail, EventBridge, Lambda를 연결해 보안 이벤트를 Slack으로 알리는 구성
  • 보안 그룹과 네트워크 ACL의 차이, VPC Flow Logs, PrivateLink
  • S3 버킷 정책의 평가 방식과 Pre-signed URL
  • AWS Config와 Macie로 S3 공개 설정과 민감 데이터를 찾는 방법
CloudNet@ - AWS 보안 가이드 Part 2 썸네일
지식공유자Ongja_CloudNet@
난이도초급
분량약 10시간
강의 상세 보기

클라우드 보안 Part 2

CloudNet@ - AWS 보안 가이드 Part 2

향로의 추천 이유

Part 1에서 IAM과 네트워크를 익혔다면, 다음은 운영 중인 서비스의 비밀번호와 암호화 키를 어떻게 관리할지 봤으면 합니다. 설정 파일에 둔 DB 비밀번호를 분리하고, GuardDuty의 탐지 사례와 CloudTrail 로그로 사고 경위를 살펴봅니다. AWS 운영과 보안 대응을 함께 맡는 분께 이어서 추천드립니다.

  • AWS WAF
  • KMS
  • Secrets Manager
  • GuardDuty
배우는 내용
  • SQL Injection, XSS 같은 공격을 보내 본 뒤 AWS WAF 관리형 규칙으로 막는 방법
  • KMS로 DB의 민감 정보를 암호화하고, Secrets Manager로 DB 계정 정보를 코드에서 분리하는 방법
  • Teleport로 SSH, DB, Kubernetes 접근을 역할별로 제한하고 접속 기록을 남기는 방법
  • GuardDuty 탐지 시나리오와 CloudTrail로 사고 과정을 되짚는 방법
  • AWS MCP Server에 읽기 전용 권한을 주고 AI 에이전트로 보안 설정을 진단하는 방법

수강평

이 강의를 수강하기 전에 저는 AWS를 활용하여 VPC설계, 3 Tier (WEB-WAS-DB) 아키텍쳐 구현, Route 53, Cloud Front를 연동하는 수준이었으나 이 강의를 수강하고 나서는 더 나아가 WAF(Web Application Firewall) 정책은 물론 KMS, Secrect Manager, CloudWatch, CloudTrail, Config, GuardDuty 등을 추가적으로 설정할 수 있게 되어 매우 좋았습니다.

e***님

학습 주제

배포 보안

배포 전에 취약점을 자동으로 찾으려면?

도커 마스터즈! CI/CD, DevSecOps로 자동화 보안 실무까지! 썸네일
지식공유자CLOUD SECURITY LAB
난이도입문
분량약 21시간 40분
강의 상세 보기

배포 보안

도커 마스터즈! CI/CD, DevSecOps로 자동화 보안 실무까지!

향로의 추천 이유

의존성 취약점 알림은 쌓이는데 배포 전에는 따로 검사하지 않고 있다면 추천드립니다. 치명적인 취약점이 있거나 코드 검사를 통과하지 못했을 때 빌드를 중단하는 Jenkinsfile 예제가 있어 골랐습니다. 도커 기초부터 다루므로 컨테이너와 배포 보안을 함께 공부하려는 분께 맞겠습니다.

  • Trivy
  • SonarQube
  • OWASP ZAP
  • cosign
  • Falco
배우는 내용
  • Trivy로 이미지와 의존성의 취약점을, SonarQube로 코드 문제를, OWASP ZAP으로 실행 중인 웹을 검사
  • Harbor 레지스트리와 cosign으로 이미지 서명과 검증
  • Falco로 쿠버네티스에서 실행 중인 컨테이너의 의심스러운 동작 탐지
  • OWASP 도커 보안 치트시트를 기준으로 컨테이너 설정 점검

수강평

도커의 기초부터 시작해 실전적인 CI/CD 파이프라인을 구축하며, 개발과 운영이 결합되는 지점을 명확히 이해하게 되었습니다.컨테이너 이미지 최적화, 환경별 설정 관리, 그리고 취약점 점검을 자동화하는 과정을 통해 더 견고한 시스템을 만드는 법을 익혔습니다.

Y**님

학습 주제

SQL Injection

공격자는 SQL을 어떻게 조작할까?

PART 2는 중급 이상 강의라, 진단 업무를 맡았을 때 이어서 들으면 됩니다.

모의해킹 실무자가 알려주는, SQL Injection 공격 기법과 시큐어 코딩 : PART 1 썸네일
지식공유자크리핵티브
난이도초급
분량약 24시간 30분
강의 상세 보기

SQL Injection

모의해킹 실무자가 알려주는, SQL Injection 공격 기법과 시큐어 코딩 : PART 1

향로의 추천 이유

공통 과정에서 SQL Injection을 배운 뒤, 실제 진단 결과를 재현하고 수정해야 하는 분께 추천드립니다. 같은 공격도 DBMS에 따라 사용하는 문법과 확인할 정보가 달라집니다. MSSQL과 Oracle을 포함한 공격 예제를 보고, 세 DBMS의 게시판 코드를 고쳐 볼 수 있다는 점에서 골랐습니다.

  • ERROR 기반
  • UNION 기반
  • BLIND 기반
  • 시큐어 코딩
배우는 내용
  • 검색 기능과 컬럼, 테이블 파라미터의 점검 방법
  • 인증 우회와 비밀 게시글 열람, LOS 워게임 문제 풀이
  • DBMS별 순차 레코드 출력과 메타데이터 목록화
  • ERROR와 UNION 기반 공격은 DBMS별로, BLIND 기반 공격은 Burp Suite Intruder와 함께
  • 세 DBMS 게시판에 각각 시큐어 코딩 적용

수강평

오늘 드디어 1회차 완강했습니다.아직 정리해야 할 자료들이 남았고 복습도 해야 되지만...일단은 이 강의에 대한 평가는 정말로 돈이 아깝지 않은 강의 였습니다.저는 이전에 종로3가의 모 보안관련 IT학원을 다닌적이 있는데 5년전 가격으로 100만원에 가까운 돈을 내고 웹해킹을 배웠지만 실무에서는 거의 쓸모가 없는 지식들만 배웠습니다.시간은 시간대로 날리고 돈은 돈대로 날린 샘이지요.그러다가 우연히 강사님의 SQLi강의를 들었는데 메타데이터 부터 시작해서 SQLi를 하기 위한 준비 과정(에러 유무 확인 -> 취약점 유무 확인 -> 조건구문 완성), 웹 페이지 존재 유무와 조건에 따른 SQLi 공격 방법 선정(Error based SQL Injection, Union Based Injection, Blind SQL Injection) 등 그야말로 어디서도 배우지 못한 체계적이며 기술적인 강의를 들을 수 있었습니다.인프런이라는 플랫폼을 통해서 강사님을 만난건 인생에 크나 큰 행운 인 것 같습니다.Part 1복습 및 자료 정리를 하면서 Part2 강의도 수강하도록 하겠습니다.정말 감사합니다.

고**님

모의해킹 실무자가 알려주는, SQL Injection 고급 공격 기법 : PART 2 썸네일
지식공유자크리핵티브
난이도중급 이상
분량약 14시간 40분
강의 상세 보기

SQL Injection 심화

모의해킹 실무자가 알려주는, SQL Injection 고급 공격 기법 : PART 2

선행 학습: SQL Injection PART 1

향로의 추천 이유

PART 1에서 UNION과 BLIND 공격을 배웠다면, 응답 시간의 차이나 INSERT, UPDATE 구문을 이용한 공격도 이어서 공부해 볼 수 있습니다. 입력값 검증이나 웹 방화벽을 적용한 뒤에도 어떤 우회가 가능한지 점검해야 하는 분께 추천드립니다.

  • TIME 기반
  • BLIND 요청 줄이기
  • INSERT와 UPDATE 공격
  • 입력값 검증 우회
배우는 내용
  • 응답 차이와 실행 시간 차이를 이용한 Response-Based, Time-Based 공격
  • BLIND 기반 공격에서 요청 횟수를 줄여 데이터를 추론하는 기법
  • SELECT가 아닌 INSERT, UPDATE, DELETE 구문을 대상으로 한 데이터 조회
  • DB와 연동된 파일 다운로드 기능을 SQL Injection으로 공격하는 방법
  • 보안 솔루션과 입력값 검증을 우회하는 기법, SQL Injection을 이용한 XSS

수강평

현직 보안 컨설턴트입니다.WAF, IPS가 구동되는 환경에서도 SQLi을 성공적으로 수행할 수 있었습니다.크리핵티브님 강의인 SQLi part2에서 우회 기법들이 소개되는데 거기서 큰 힌트를 얻어 우회할 수 있었습니다.

W***님

학습 주제

파일 업로드와 다운로드

공격자는 파일 경로와 확장자를 어떻게 조작할까?

지식공유자가 안내한 순서대로 파일 다운로드, 파일 업로드 PART 1을 듣습니다.파일 업로드 PART2는 중급 이상의 고급 공격 기법 강의로, 기본 과정을 익힌 뒤 이어서 수강합니다.

모의해킹 실무자가 알려주는, 파일 다운로드 취약점 공격 기법과 실무 사례 분석 썸네일
지식공유자크리핵티브
난이도초급
분량약 7시간 10분
강의 상세 보기

파일 업로드와 다운로드

모의해킹 실무자가 알려주는, 파일 다운로드 취약점 공격 기법과 실무 사례 분석

향로의 추천 이유

첨부파일이나 증빙 서류를 내려주는 API를 만든다면, 요청값을 바꿔 서버의 다른 파일도 받을 수 있는지 확인해 봤으면 합니다. 이 강의는 다운로드 검증 로직을 분석하고 우회한 뒤 대응 코드까지 다룹니다. JSP와 PHP 예제라서, Spring을 쓰는 분들은 검증이 빠진 부분을 보고 자신의 코드와 비교하며 공부하시면 좋겠습니다.

  • 다운로드 로직 분석
  • 검증 우회
  • 대응 코드
배우는 내용
  • JSP와 PHP로 만든 파일 다운로드 기능의 로직 구조
  • 파일 다운로드 취약점의 공격 원리와 분석 방법
  • 가상 환경에서 다운로드 검증 로직을 분석하고 우회하는 실습
  • JSP와 PHP 코드에 적용하는 대응 방안

수강평

단순하게 공격시도만 하는 다른 강의와는 다르게 어떻게 접근을 해야하는지 설명을 해주고 실제로 실습도 해보고 이에 대한 응용 그리고 마지막으로 이에 대한 시큐어코딩까지기승전결이 깔끔한 강의였습니다.

정**님

모의해킹 실무자가 알려주는, 파일 업로드 취약점 공격 기법과 실무 사례 분석 : PART 1 썸네일
지식공유자크리핵티브
난이도초급
분량약 15시간 40분
강의 상세 보기

파일 업로드와 다운로드

모의해킹 실무자가 알려주는, 파일 업로드 취약점 공격 기법과 실무 사례 분석 : PART 1

향로의 추천 이유

프로필 이미지나 첨부파일 업로드를 만들었다면, 확장자와 이미지 형식 검사가 어떻게 우회되는지도 한번 확인해 보셨으면 합니다. 검증을 우회해 웹쉘을 올리는 과정을 실제 사례와 함께 다룹니다. 처음 업로드 보안을 공부하신다면 이 강의부터 권하고 싶습니다.

  • 업로드 동작 원리
  • 웹쉘 이해와 제작
  • 검증 우회
  • 실무 사례 12가지
배우는 내용
  • 파일 업로드 기능이 동작하는 방식과 취약점이 생기는 이유
  • 웹쉘의 개념과 동작 방식, 단계별 웹쉘 제작 예제
  • 업로드 검증을 우회하는 공격 방법론
  • 실무 사례 12가지로 보는 업로드 취약점
  • JSP와 PHP 코드에 적용하는 시큐어 코딩

수강평

정말 많은 것들을 배웠습니다 그동안 알고있던것은 알고 있던게 아니군요;;;입문자분들에게는 좋은 가이드라인이 되고 실무자분들에게는 정말 필요한 강의가 될 것 같네요

김**님

파일 업로드 취약점 고급 공격 기법 PART2 [통합편] 썸네일
지식공유자크리핵티브
난이도중급 이상
분량약 6시간 10분
강의 상세 보기

파일 업로드와 다운로드 심화

파일 업로드 취약점 고급 공격 기법 PART2 [통합편]

먼저 파일 다운로드와 파일 업로드 PART 1을 차례로 듣습니다.

향로의 추천 이유

업로드 확장자를 제한했는데도 공격이 가능한 이유를 Java 코드로 더 보고 싶은 분께 추천드립니다. JSP 예제와 업로드 라이브러리를 분석하는 구성이어서, Java로 만든 업로드 기능을 맡고 있다면 자신의 코드와 비교해 보기 좋겠습니다.

  • Java 업로드 라이브러리
  • 실무 환경별 공격
  • 웹 방화벽 우회
  • JEUS와 WebSphere
배우는 내용
  • Java 파일 업로드 라이브러리의 동작 원리와 잠재적 보안 위협, 안전한 사용법(스프링 프레임워크 단원 포함)
  • 여러 실무 환경에서 웹쉘을 업로드하는 공격 방법론
  • 웹 방화벽이 파일 업로드 공격을 탐지하는 원리와 우회 기법
  • JEUS, WebSphere에서 발생한 디렉터리 파싱 취약점

채널톡 아이콘