|
|
|
|
 일시 : |
2007-11-13 (화)
10:00-18:00
|
| |
| 장소 : | 비즈델리 교육장(역삼역 6번 출구 수협건물 16층)  |
| |
| 강사 : |
정진석
강사
|
| |
| 가격 : | 165,000원 I  132,000원  |
|
|
|
|
|
|
 |
|
|
|
|
- 강사 : 정진석 강사
- 일정 : 2007년 11월 13일(화) 10:00 ~ 18:00
- 교육비 : 사전등록 165,000원 / 현장등록 176,000원 (부가세 포함 / 중식 포함 / 교재비 포함)
- 교육장소 : 비즈델리 교육장(역삼역 6번 출구 수협건물 16층)
|
| ※ 주차가 불가능하오니 대중교통을 이용해 주세요.
주차지원은 하지 않습니다. |
|
|
|
|
|
|
|
|
 |
|
|
|
|
- 웹사이트 관련 보안 담당자
- 웹 해킹에 대한 보안이 필요한 실무자
|
|
|
|
|
|
|
|
|
 |
|
|
|
|
- 웹 해킹읠 기법과 주요 공격 기법을 알아본다.
- 웹 어플리케이션 주요 취약점과 이에 대한 대응 방안을 살펴본다.
- 최근 문제가 되고 있는 중국발 해커의 주요 공격 기법을 자세히 살펴본다.
- 상황별 웹 해킹에 대한 실전 대비 전략을 학습하여, 실제 웹해킹에 대비한다.
|
|
|
|
|
|
|
|
|
 |
|
|
|
| Agenda |
1 session
10:00~12:00 |
웹 해킹 개요 및 기법의 이해
- 1. 웹 해킹의 개요
- 해킹의 추이 및 사례
- 웹 해킹의 발생 원인
- 해킹의 파급효과
- 2. 웹 해킹 기법의 이해
- 웹 해킹 방법론
- 웹 어플리케이션 구조 이해 : HTTP 프로토콜의 이해
- 정보수집 : 포트 스캔, 웹 취약점 스캐너의 사용, 인증구조확인, 디렉터리 목록화 도구 사용, google 해킹의 이해
- 취약성 분석
- 공격 시도
- 공격 결과 분석
- 웹 공격 도구 소개
- 웹 프락시
- 종합 공격 도구
- 주요 공격 기법 이해
- 해커들의 주요 공격과 어플리케이션과의 관계 분석
- SQL INJECTIOn 공격, XSS(Cross-Site Scripting)공격, 파일 업로드 공격, 쿠키 조작
- 디렉터리 이동 공격, 외부 파일 실행 공격, javascript 조작 공격, 히든 필드 조작 공격
- URL 강제 접속 공격, 디렉터리 인덱싱 공격, 기타 취약한 계정 및 원격관리 프로그램의 취약성 이해
- 3. 웹 어플리케이션 주요 취약점 및 대응 방안
- OWASP Top 10
- A1 입력 값 검증 부재
- A2 취약한 접근 통제
- A3 취약한 인증 및 세션 관리
- A4 XSS
- A5 버퍼 오버플로우
- A6 삽입 취약점
- A7 부적절한 에러 처리
- A8 취약한 정보 저장 방식
- A9 서비스 방해 공격
- A10 부적절한 환경 설정
- 4. 중국발 해커의 주요 공격 기법 및 도구
|
| Lunch Break |
2 session
13:00~15:00 |
웹해킹 실전 Part 1
- 1. SQL INJECTION 공격을 이용한 인증우회 실습
- 관리자 로그인 페이지 추측 및 취약한 계정 응용, 패스워드 추측 공격 병행
- 2. SQL INJECTION 공격을 이용한 주요 DB 정보 획득
- 웹 Proxy를 이용한 html 필드 값 조작 응용
- having, group by 를 이용한 테이블 명, 컬럼명 획득
- union 을 이용한 전체 필드 값 획득
- 3. SQL INJECTION 공격을 이용한 DB 서버 침투
- Packet sniffing(capture) 를 통한 xp_cmdshell 의 결과 확인
- netcat을 이용한 reverse connection 공격
- extended stored procedure 를 이용한 시스템 명령의어 수행
- tftp 서버의 사용
- 4. SQL INJECTION 공격을 이용한 주요 DB 정보 획득 2
- infomation_schema 를 이용한 주요 DB 정보의 획득
- sysobjects, syscolumns 를 이용한 주요 DB 정보의 획득
|
3 session
15:10~16:30 |
웹해킹 실전 Part 2
- 1. XSS 공격 실습
- 게시판을 이용한 XSS 공격
- 획득한 쿠키의 재사용
- 웹 프락시를 이용한 쿠키 재사용
- cooxie 를 이용한 쿠키의 재사용
- 쿠키 만료 되기 전 재활용 방법
- 2. 디렉터리 인덱싱 공격 실습 및 대응
- apache에서의 대응
- IIS 에서의 대응
- 3. 쿠키 변조
- 동영상 시연
- 쿠키 변조를 통한 타 사용자 및 관리자 권한 획득
|
4 session
16:40~18:00 |
웹해킹 실전 Part 3
- 1. 파일 다운로드 공격
- 파일 다운로드 공격을 이용한 주요 정보 획득
- 파일 다운로드 공격의 응용
- 2. 파일 업로드 공격
- 파일 업로드 공격 동영상 시연
- javascript 필터링을 우회한 파일 업로드 공격
- mime 필터링을 우회한 파일 업로드 공격
- 3. reverse connection
- xterm 을 이용한 reverse connection
|
** 상기 일정, 강사, 내용은 사정에 따라 변경될 수 있습니다.
|
|
|
|
|
|
|
 |
|
|
|
|
 |
정진석 강사 / 정보보호 컨설팅 분야 프리랜서
 現 정보보호 컨설팅 분야 프리랜서
CISA
경북대학교
[컨설팅 경력]
중요 정부기관, 공공, 금융, 대기업 및 전문 기업 대상 정보보호 컨설팅
PM/PL, 모의해킹, 그 외 기술적인 진단 실무 직접 수행
보안컨설팅 : 서울지방경찰청, 포스코 광양제철소, 교육인적자원부 NEIS 응용 S/W
모의해킹 : 건국대학교병원, 포스코 MES 시스템
취약점 진단 : 한국법제연구원, 애니콜, 현대해상, 건강보험심사평가원, 우리은행, 롯데정보통신, 한국법제연구원, 한국고용정보원, 한국암웨이
정보보호 컨설팅 : 대덕전자, 엘지생활건강, 국회사무처, 건강보험심사평가원, 문화관광부/문화정보센터, 금융감독원, 에너지관리공단, 교보문고, 모빌리언스, 금융감독원, 에너지관리공단, 증권예탁원
특허청 위.변조 진단 컨설팅
삼일회계법인 보안진단 컨설팅
대법원 등기정보 시스템 정보보호 상태 진단 컨설팅
[강의 경력]
행자부 소속의 정보화교육센터에서 정보보호 전문 강사
경찰청, 경상남도공무원교육센터, 경기도인재개발원, 경기도교육청, 기무사, 한국교육학술정보원, 한국고용정보원, 포스코, LG 그룹 등 다수
|
|
|
|
|
|
|
|
