온라인 해킹 훈련장 Pentest Gym의 오픈 베타 서비스를 시작합니다. 미리 체험해보세요. [Pentest Gym 바로 가기]
버그바운티에 대해 알아보세요.
대부분의 버그바운티 프로그램은 웹 애플리케이션을 대상으로 합니다. 먼저 웹에 관한 전반적인 지식을 학습하시면 좋습니다. 우선은 너무 심도있게 공부하시는 것보다 개념 이해를 목적으로 학습하시는 것을 추천드립니다. HTML, CSS, JAVASCRIPT는 소스코드를 읽고 이해할 수 있는 수준이면 됩니다. 그 이후 필요하실 때마다 다른 전문 서적이나 자료를 통해 더 발전시키세요. 다음은 웹에 대한 기본적인 이해를 돕기 위해 설명된 링크입니다.
위키피디아 | 한글 En |
모질라 | 한글 En |
W3Schools | En |
위키피디아 | 한글 En |
모질라 | 한글 En |
W3Schools | En |
위키피디아 | 한글 En |
모질라 | 한글 En |
W3Schools | En |
위키피디아 | 한글 En |
모질라 | 한글 En |
W3Schools | En |
위키피디아 | 한글 En |
모질라 | 한글 En |
W3Schools | En |
위키피디아 | 한글 En |
퍼센트 인코딩 | 한글 En |
HTML 인코딩 | En HTML엔티티 참조 |
Base64 인코딩 | En |
Unicode 인코딩 | En |
Hex 인코딩 | En |
위키피디아 | 한글 En |
모질라 | 한글 En |
위키피디아 | 한글 En |
모질라 | 한글 En |
웹 애플리케이션 버그 헌팅을 위한 가장 훌륭한 도구는 BurpSuite과 같은 프록시 도구입니다. 프록시 도구는 당신의 웹브라우저와 웹사이트 사이에서 HTTP 요청과 응답을 가로채고, 변경할 수 있게 해줍니다. 프록시 도구와 더불어 취약점 종류에 따라 특화된 커맨드라인 기반의 도구들도 다양합니다. 이러한 보조 도구들을 적절히 사용하면 꽤 유용한 도움을 받을 수 있습니다. Weapons를 방문해보세요.
웹 애플리케이션의 기본 공격 기법을 공부하세요. 읽어야 할 것들을 참고하시면 웹 해킹 공부를 위한 필독 도서와 유용한 자료들을 확인하실 수 있습니다.
그리고 실습하세요. 실습은 버그바운티 실전에서의 성공을 위한 필수 단계입니다. 웹 애플리케이션의 각 취약점 및 다양한 난이도에 따라 정리된 많은 가상환경이 있습니다. 문제를 풀어가면서 웹 애플리케이션의 구현 방식과 왜 취약점이 존재하는지, 예방을 위해서는 어떻게 구현해야 할지를 고민해보세요. 실습을 위해 다음 환경을 활용하세요.
Pentest Gym | 웹의 기초 지식부터 다양한 공격 기법까지 웹 해킹에 대한 이론을 배우고 직접 실습을 할 수 있는 국내 사이트입니다. 현재 모든 훈련을 무료로 제공하고 있습니다. 버그바운티클럽이 서비스하고 있습니다. |
OWASP Broken Web App | 오픈소스이며 BWapp, DVWA, WebGoat, Juice Shop, Cyclone Transfers 등의 취약한 환경이 다량 포함되어 있습니다. |
PentesterLab | 웹사이트의 기본 취약점부터 고급 취약점까지 다양한 취약점에 대한 이론과 실습 환경을 무료 혹은 유료로 제공합니다. |
Defend the Web | HackThis의 새로운 이름입니다. |
Webhacking.kr | 대한민국의 대표적인 웹 해킹 연습 사이트입니다. |
XSS Game | XSS 취약점을 난이도별로 연습해볼 수 있는 사이트입니다. |
현실 세계의 웹 애플리케이션은 인위적으로 취약점을 만들어 놓은 실습환경과는 천지차이입니다. 악의적인 공격을 방어하기 위해 구현된 방화벽이나 각양각색의 필터가 당신의 공격을 가로막을 것입니다. 당신은 이러한 방어를 우회할 방법을 찾아야 합니다. 당신의 목표는 실제로 존재하는 웹 애플리케이션임을 잊지마십시오. 실전을 경험하고 계속 도전해야 합니다. 버그바운티 플랫폼에 리스트된 플랫폼 중 맘에 드는 곳을 방문하고, 프로그램을 선택합니다. 당신이 학습한 것을 테스트하고, Real World를 몸소 체험하세요.
버그바운티 감각을 기르기 위한 좋은 방법 중 하나는 다른 헌터들이 공유하는 Writeup을 읽는 것입니다. 다양한 Writeup을 통해 당신은 다른 해커들의 사고 방식과 접근 방식, 그리고 사냥 방법을 엿볼 수 있으며, 이 경험이 쌓이면 당신도 보안 취약점을 찾는 감각이나 통찰력을 얻을 수 있습니다. 다음은 Bug Bounty Writeup 링크입니다. 아래 링크 외에 구글에서 검색하면 더 많은 정보를 얻을 수 있습니다.
HackerOne Writeup | 해커원 레포트 모음 |
Bugcrowd Writeup | Bugcrowd의 포럼에 초창기에 게시된 writeup 모음 |
PentesterLand Writeup | - |
Infosec Writeup | - |