워게임 / CTF

워게임(Wargame) & CTF(Capture the flag)

 

워게임(Wargame (hacking))

 

 해킹에서 워 게임(War game)은 사이버 보안 챌린지(Cyber-Security Challenge)로, 경쟁자들이 시스템이나 응용프로그램의 취약점(Vulnerability)을 이용하거나 방어하고, 컴퓨터 시스템에 대한 접근(Access) 권한을 얻거나 방지하는 것

---

워게임은 일반적으로 아래의 해킹 기술들을 포함

• CTF(Capture the flag) logic
  • 의도적으로 취약한 프로그램이나 웹사이트에 비밀리에 숨겨져 있는 Flag 라고 불리는 문자열을 찾으려고 시도하는 연습 (경쟁적인 목적이나, 교육적인 목적)
  • 참가자들은 다른 경쟁자(공격/방어형 (attack/defense-style) CTFs
  • 또는 주최자(jeopardy-style challenges) 로부터 깃발을 훔침

 

• 침투 시험 · 윤리적 해킹(Penetration test)
  • 화이트 박스(white box)
    • 모든 정보를 제공(background and system information are provided in advance to the tester)
  • 블랙 박스(black box)
    • 기본 정보만 제공(only basic information, company name is provided)
  • 그레이 박스(gray box)
    • 대상자에 대한 지식 제한(limited knowledge of the target)

 

• 의미론적 URL 공격(Semantic URL attacks)
  • URL의 구문은 유지하되 의미론적으로 변경하여 요청의 매개변수를 수동으로 조정
  • 주로 CGI 기반 웹사이트를 대상으로 사용

 

• 지식 기반 인증KBA(knowledge-based authentication)
  • 금융 기관이나 웹사이트와 같은 서비스에 액세스하는 사람의 신원을 증명하려고 하는 인증 방법
  • 신원 정보를 제공하는 사람이 신원의 소유자임을 증명하기 위해 개인의 개인 정보에 대한 지식을 요구
    • 정적(static) KBA : 사전에 합의된 정보(pre-agreed set of shared secrets)
    • 동적(dynamic) KBA : 더 넓은 개인 정보에 기반하여 생성된 질문에 기반

 

• 암호 크래킹(Password Cracking)
  • 컴퓨터 시스템에 저장되거나 컴퓨터 보안에서 스크램블 형태로 전송된 데이터에서 암호를 복구하는 프로세스
  • 일반적인 접근 방식(무차별 대입 공격 brute-force attack)
    • 암호에 대한 추측을 반복적으로 시도하고 암호의 사용 가능한 암호 해시와 대조하여 확인하는 것
    • 특정한 암호를 풀기 위해 가능한 모든 값을 대입하는 것
    • 대부분의 암호화 방식은 이론적으로 무차별 대입 공격에 대해 안전하지 못함
      • (충분한 시간이 존재한다면 암호화된 정보를 해독 가능)
  • 다른 유형의 접근 방식(암호 분사 password spraying)
    • 일반적인 암호 목록을 사용하여 탐지되지 않은 상태를 유지하기 위해 자동화
  • 잊어버린 비밀번호를 복구(시스템 관리자 권한이 필요하기 때문)
  • 시스템에 대한 무단 액세스 권한을 얻거나 시스템 관리자가 쉽게 크래킹 당할 수 있는 비밀번호를 확인하는 예방 조치의 역할

 

• 소프트웨어 역공학(reverse engineering of software. (often JavaScript, C and Assembly language)
  • 소프트웨어 불법 정품 인증 시리얼 코드 생성
  • 소프트웨어 키젠 및 크랙 생성
  • 경쟁사의 기술 정보 분석
  • 악성코드 분석
  • 소프트웨어 보안성 테스트

 

• 코드 인젝션(Code injection)
  • 유효하지 않은 데이터를 실행함으로써 야기되는 소프트웨어 버그의 부당한 사용
  • 삽입은 공격자에 의해서 취약한 컴퓨터 프로그램 코드를 삽입하고 실행을 변경하는 방식으로 이용
  • 성공적인 코드 인젝션은 이것을 이용한 웜의 전파 같이 종종 처참한 결과를 보여줌
  • (주로 인터프리터에 신뢰할 수 없는 데이터를 보낼 때 발생)
  • 해킹이나 크래킹에서 정보를 얻거나 권한 확대 또는 비인가 접근을 위한 목적으로 사용

 

• SQL 인젝션(SQL injections)
  • 응용 프로그램 보안 상의 허점을 의도적으로 이용해, 악의적인 SQL문을 실행되게 함으로써 데이터베이스를 비정상적으로 조작하는 코드 인젝션 공격 방법

 

• 크로스사이트 스크립팅(XSS. Cross-Site Scripting)
  • 사이트 간 스크립팅(주로 다른 웹사이트와 정보를 교환하는 식으로 작동)
  • 웹 애플리케이션에서 많이 나타나는 취약점의 하나
  • 웹사이트 관리자가 아닌 이가 웹 페이지에 악성 스크립트를 삽입할 수 있는 취약점
  • (이름이 CSS가 아닌 이유는 웹 기술인 CSS와 헷갈릴 수 있기 때문)
  • 웹 애플리케이션이 사용자로부터 입력 받은 값을 제대로 검사하지 않고 사용할 경우 나타남
  • 이 취약점으로 해커가 사용자의 정보(쿠키, 세션 등)를 탈취하거나, 자동으로 비정상적인 기능을 수행하게 하는 것이 가능

 

• 취약점 공격(Exploits)
  • 또는 익스플로잇
  • 컴퓨터의 소프트웨어나 하드웨어 및 컴퓨터 관련 전자 제품의 버그, 보안 취약점 등 설계상 결함을 이용해 공격자의 의도된 동작을 수행하도록 만들어진 절차나 일련의 명령, 스크립트, 프로그램 또는 특정한 데이터 조각을 의미하며, 이러한 것들을 사용한 공격 행위를 이르기도 함
  • 주로 공격 대상 컴퓨터의 제어 권한 획득이나 서비스 거부 공격(DoS) 등을 목적으로 함

 

• IP 주소 스푸핑(IP address spoofing)
  • 또는 IP 스푸핑(IP spoofing)
  • 다른 컴퓨터 시스템인 것처럼 가장하기 위해 거짓 소스 IP주소로 인터넷 프로토콜(IP) 패킷을 만드는 것

 

• 포렌식(Forensics)
  • 컴퓨터 포렌식(computer forensic science) - 컴퓨터 법의학
  • 전자적 증거물 등을 사법 기관에 제출하기 위해 데이터를 수집, 분석, 보고서를 작성하는 일련의 작업

 

---

 

질문 환영, 수정 및 보완에 대한 지적 환영