📚 주요정보통신기반시설 웹 애플리케이션 취약점 분석·평가 21일 완성 코스

과학기술정보통신부 및 KISA의 주요정보통신기반시설 기술적 취약점 분석·평가 가이드를 기반으로 한 웹 보안 진단 전문 커리큘럼입니다. 총 21개 웹 애플리케이션 취약점 항목의 동작 원리, 영향도, 진단 방법 및 실무 적용 가능한 보안 대책을 하루에 하나씩 체계적으로 학습합니다. 웹 보안 입문자부터 실무 진단원까지 원리와 대응 방안을 철저히 다질 수 있습니다.

완료 21/21 챕터 · 21일 과정 · 2026-09-21 시작 · 소스: 직접 입력

1강	[Day 1] 코드 인젝션 (Code Injection) 사용자 입력값이 적절한 검증 없이 서버 측 스크립트 언어(PHP, ASP, JSP 등)의 명령어로 해석·실행되는 취약점입니다. eval(), exec() 등의 위험 함수 호출 과정	발행됨
2강	[Day 2] SQL 인젝션 (SQL Injection) 데이터베이스 쿼리문에 악의적인 SQL 구문을 주입하여 미인가 데이터 조회, 데이터 수정/삭제, 인증 우회를 수행하는 취약점입니다. Error-based, Union-based, B	발행됨
3강	[Day 3] 디렉터리 인덱싱 (Directory Indexing) 웹 서버 설정 오류로 인해 기본 인덱스 파일(index.html 등)이 없는 디렉터리 접근 시 내부 파일 및 디렉터리 목록이 브라우저에 그대로 노출되는 취약점입니다. 웹 서버(Ap	발행됨
4강	[Day 4] 에러 페이지 적용 미흡 시스템 오류 발생 시 DBMS 오류 메시지, 웹 애플리케이션 프레임워크 콜 스택, OS 버전 등 디버깅 정보가 그대로 노출되는 취약점입니다. 공격자의 정보 수집 활동을 차단하기 위	발행됨
5강	[Day 5] 정보 노출 (Information Disclosure) HTML 주석, 소스코드, 시스템 구성 파일, 백업 파일(.bak, .swp), 개발자 디버깅 메시지 등에 중요한 내부 정보나 개인정보가 잔존하는 취약점입니다. 소스코드 및 HTT	발행됨
6강	[Day 6] 크로스사이트 스크립트 (Cross-Site Scripting, XSS) 악의적인 클라이언트 측 스크립트가 타 사용자의 브라우저에서 실행되어 세션 탈취, 피싱, 악성코드 유포 등을 일으키는 취약점입니다. Stored, Reflected, DOM-base	발행됨
7강	[Day 7] 크로스사이트 요청 위조 (CSRF) 인증된 사용자의 권한을 도용하여 사용자가 의도하지 않은 악의적 요청(비밀번호 변경, 회원 탈퇴, 자금 이체 등)을 서버로 송신하게 만드는 취약점입니다. CSRF 토큰(Anti-CS	발행됨
8강	[Day 8] 서버사이드 요청 위조 (SSRF) 공격자가 웹 서버를 경유하여 내부 네트워크, 루프백 주소(127.0.0.1) 또는 외부 시스템으로 악의적인 HTTP/HTTPS 요청을 송신하게 만드는 취약점입니다. SSRF 발생	발행됨
9강	[Day 9] 약한 비밀번호 정책 비밀번호 설정 시 최소 길이, 문자 조합 규칙(영문 대소문자, 숫자, 특수문자)이 미비하거나 용이한 추측이 가능한 경우 무차별 대입(Brute Force) 및 사전 공격에 노출되는	발행됨
10강	[Day 10] 불충분한 인증 절차 로그인이나 중요 로직 수행 시 사용자 식별/인증 절차가 누락되거나 우회 가능한 취약점입니다. 인증 상태 세션 검증 누락, 인증 단계 건너뛰기 등의 공격 방식을 다루며, 모든 중요	발행됨
11강	[Day 11] 불충분한 권한 검증 타인의 정보 조회/수정(수평적 권한 상승) 또는 일반 사용자가 관리자 기능 실행(수직적 권한 상승) 시 권한 체크가 부족하여 발생하는 취약점(IDOR 포함)입니다. 세션 내 사용자	발행됨
12강	[Day 12] 취약한 비밀번호 복구 절차 비밀번호 재설정/찾기 과정에서 본인 확인 질문이 용이하게 추측되거나, 임시 비밀번호 및 인증 토큰의 무작위성이 떨어지는 취약점입니다. 예측 불가능한 난수 기반 토큰 생성, 토큰의	발행됨
13강	[Day 13] 프로세스 검증 누락 회원가입, 결제, 본인인증 등 다단계(Step-by-step)로 구성된 비즈니스 로직의 순서를 무단으로 건너뛰거나, 파라미터(금액, 수량 등)를 변조하여 우회하는 취약점입니다. 서	발행됨
14강	[Day 14] 악성 파일 업로드 웹 셸(WebShell) 등 서버 측에서 실행 가능한 악성 파일이 웹 서버 상에 업로드되어 원격 명령이 실행되는 취약점입니다. 파일 확장자 화이트리스트 검증, 파일명 난수화, 업로	발행됨
15강	[Day 15] 파일 다운로드 (Path Traversal) 파일 다운로드 매개변수에 상대 경로 이동 문자(../) 등을 주입하여 시스템의 중요 파일(passwd, web.config 등)에 무단 접근/다운로드하는 취약점입니다. 경로 조작	발행됨
16강	[Day 16] 불충분한 세션 관리 세션 타임아웃 미설정, 로그인 후 기존 세션 ID 미갱신(Session Fixation), 중복 로그인 허용 등으로 세션이 오남용되는 취약점입니다. 로그인 시 세션 ID 재발급,	발행됨
17강	[Day 17] 데이터 평문 전송 로그인 인증 정보, 개인정보, 금융정보 등 민감 데이터가 HTTP 등의 평문 프로토콜로 송수신되어 네트워크 스니핑에 노출되는 취약점입니다. 웹 애플리케이션 전 구간 TLS/SSL(	발행됨
18강	[Day 18] 쿠키 변조 클라이언트에 저장되는 쿠키 값(인증 상태, 사용자 등급, 금액 등)을 임의로 수정하여 권한 우회나 타인 위장을 수행하는 취약점입니다. 쿠키 내 민감 정보 직접 저장 금지, 서버 측	발행됨
19강	[Day 19] 관리자 페이지 노출 관리자 페이지 URL이 추측하기 쉽거나(/admin, /manager 등) 외부 접근 통제가 되어 있지 않아 미인가 사용자가 관리 기능에 접근할 수 있는 취약점입니다. 관리자 UR	발행됨
20강	[Day 20] 자동화 공격 매크로, 크롤러, 무차별 대입 도구 등을 활용한 자동화된 반복 요청에 제한이 없어 서비스 거부 또는 데이터 무단 수집이 일어나는 취약점입니다. CAPTCHA(캡차) 도입, IP/계	발행됨
21강	[Day 21] 불필요한 Method 악용 웹 서버에 GET, POST 외에 PUT, DELETE, TRACE, OPTIONS 등 위험하거나 불필요한 HTTP 메서드가 활성화되어 파일 임의 생성/삭제나 Cross-Site	발행됨