🧩 애플리케이션 보안
🚧 W3(8/30~9/6) 진도와 함께 확장 예정. 현재는 실기 빈출 핵심만 적재.
정의A01 접근통제 취약 · A02 암호화 실패 · A03 인젝션 · A04 안전하지 않은 설계 · A05 보안 설정 오류 · A06 취약·구버전 컴포넌트 · A07 인증·식별 실패 · A08 SW·데이터 무결성 실패 · A09 로깅·모니터링 실패 · A10 SSRF
정의① Prepared Statement(파라미터 바인딩) ② 입력값 검증·특수문자 필터링 ③ DB 계정 최소권한 ④ 에러 메시지 노출 차단 ⑤ 저장 프로시저 사용
정의Stored(서버 저장 후 반복 실행) · Reflected(요청 값이 즉시 반사) · DOM Based(클라이언트 스크립트가 DOM 조작)
정의① 출력 시 HTML 인코딩(< > " ' &) ② 입력값 검증 ③ CSP(Content Security Policy) 적용 ④ 쿠키에 HttpOnly 설정
정의XSS=피해자 브라우저에서 스크립트 실행(신뢰하는 사이트를 이용해 사용자 공격) · CSRF=인증된 사용자의 권한으로 의도치 않은 요청 전송(사용자를 이용해 사이트 공격)
정의① CSRF 토큰 검증 ② Referer 검증 ③ 중요 작업 시 재인증 ④ SameSite 쿠키 속성
정의① 확장자 화이트리스트 검증 ② 업로드 디렉토리 실행 권한 제거 ③ 웹 루트 외부에 저장 ④ 파일명 난수화 ⑤ 파일 크기·MIME 검증
정의../ 등 상위 경로 문자를 이용해 허용 범위 밖 파일에 접근하는 공격. 대응은 경로 문자 필터링과 절대경로 검증
정의Secure(HTTPS에서만 전송) · HttpOnly(스크립트 접근 차단) · SameSite(교차 사이트 전송 제한) · Domain/Path 최소화
정의공격자가 미리 정한 세션 ID를 피해자에게 사용하게 한 뒤 인증 후 그 세션을 탈취. 대응은 로그인 성공 시 세션 ID 재발급
정의평문 전송, Anonymous FTP 허용, Bounce Attack(PORT 명령 악용한 우회 스캔). 대응은 SFTP·FTPS 사용, 익명 접속 차단, ftpusers로 계정 제한
정의SPF(발신 IP 검증) · DKIM(전자서명 검증) · DMARC(SPF·DKIM 결과 기반 정책 적용 및 리포트)
정의인증 없이 외부 메일 중계를 허용하는 설정. 스팸 발송에 악용되므로 반드시 차단
정의AXFR 요청으로 존 전체 정보가 유출되지 않도록 allow-transfer로 보조 네임서버만 허용
정의서버가 사용자가 지정한 URL로 요청을 보내게 만들어 내부망 자원이나 클라우드 메타데이터 서버에 접근하는 공격
정의입력데이터 검증 및 표현 · 보안기능 · 시간 및 상태 · 에러처리 · 코드오류 · 캡슐화 · API 오용
정의사용자 입력값이 SQL 구문의 일부로 해석되어 데이터베이스를 임의로 조작할 수 있게 되는 공격
원리① 입력값을 검증 없이 SQL 문자열에 연결 ② ' or 1=1 -- 등으로 조건을 항상 참으로 만들거나 구문 종료 후 명령 추가 ③ UNION SELECT로 다른 테이블 데이터 조회 ④ 오류 메시지·응답 시간 차이로 정보 추출(Error/Blind/Time-based)
영향인증 우회, 전체 데이터 유출·변조, 확장 프로시저를 통한 서버 명령 실행
대응① Prepared Statement로 쿼리와 데이터 분리 ② 입력값 화이트리스트 검증 및 특수문자 처리 ③ DB 계정 최소 권한 부여 ④ 상세 에러 메시지 노출 차단 ⑤ WAF로 공격 패턴 차단
정의웹 페이지에 악성 스크립트를 삽입해 이를 열람한 사용자의 브라우저에서 실행되게 하는 공격
원리① 게시글·파라미터에 스크립트 삽입 ② 서버가 검증 없이 그대로 출력 ③ 피해자 브라우저에서 스크립트 실행 ④ 세션 쿠키 탈취·피싱 페이지 삽입·키로깅
영향세션 하이재킹, 계정 탈취, 악성코드 유포
대응① 출력 시 HTML 엔티티 인코딩 ② 입력값 검증·필터링 ③ CSP 적용으로 스크립트 출처 제한 ④ 쿠키에 HttpOnly 설정 ⑤ 신뢰할 수 없는 HTML은 정제(Sanitize)
정의인증된 사용자의 권한을 도용해 사용자가 의도하지 않은 요청을 서버에 전송하게 만드는 공격
원리① 피해자가 취약 사이트에 로그인된 상태 유지 ② 공격자가 악성 페이지·이미지 태그로 요청을 유도 ③ 브라우저가 쿠키를 자동 첨부해 요청 전송 ④ 서버는 정상 사용자 요청으로 처리
영향비밀번호 변경, 송금, 권한 변경 등 상태 변경 작업이 무단 수행됨
대응① 요청마다 예측 불가한 CSRF 토큰 검증 ② Referer·Origin 헤더 검증 ③ 중요 작업 시 재인증·2차 인증 ④ SameSite=Strict 쿠키 속성 ⑤ 상태 변경은 POST로 제한
정의실행 가능한 악성 파일을 업로드하고 이를 호출해 서버에서 명령을 실행하는 공격
원리① 확장자 검증이 없거나 블랙리스트만 존재 ② 이중 확장자·널바이트·MIME 위조로 우회 ③ 업로드된 웹셸 경로에 HTTP 요청 ④ 웹 서버 권한으로 명령 실행
영향서버 장악, 데이터 유출, 내부망 침투 거점 확보
대응① 확장자 화이트리스트 검증 ② 업로드 디렉토리 실행 권한 제거 ③ 웹 루트 외부 저장 후 다운로드 스크립트 경유 ④ 파일명 난수화 ⑤ 파일 시그니처·크기 검증 ⑥ 업로드 경로 정기 점검
정의세션 ID의 생성·전달·소멸 과정의 결함으로 타인의 세션을 탈취하거나 고정할 수 있게 되는 취약점
원리① 예측 가능한 세션 ID 생성 ② URL에 세션 ID 노출 ③ 로그인 후 세션 ID 미재발급(세션 고정) ④ 평문 전송 시 스니핑으로 탈취
영향인증 우회, 타 사용자 권한으로 서비스 이용
대응① 충분한 길이의 난수로 세션 ID 생성 ② 로그인 성공 시 세션 ID 재발급 ③ HTTPS 전송 + Secure·HttpOnly 속성 ④ 유휴 타임아웃과 절대 만료 설정 ⑤ 로그아웃 시 서버 측 세션 완전 삭제
💡 카드를 눌러 답을 확인한다. 먼저 답을 떠올린 뒤 펼칠 것 — 그냥 읽으면 실기에서 안 나온다.
정보보안기사 2026년 제4회 대비 · 필기 9/19(토) · 실기 11/14(토)
문서 원본은
문서 원본은
docs/ 폴더의 마크다운입니다.