블로그

2026년 5월 30일, CJ ENM이 운영하는 OTT 서비스 티빙(TVING)의 DB에 직접 침입이 발생했다. 최종 집계된 피해 규모는 1,953만 명으로, 역대 국내 개인정보 유출 사고 중 네 …

2026년 4월 말, 전 세계 8,809개 대학·교육기관이 사용하는 학습관리시스템(LMS) Canvas가 침해당했다. 운영사 Instructure는 사이버보안 사고를 조사 중이라고 공식 발표했고, …

2026년 5월 11일, 비교적 신생 랜섬웨어 조직 Nitrogen이 다크웹 유출 사이트 'NitroBlog'에 새 글을 올렸다. 대상은 세계 최대 전자제품 위탁생산업체 Foxconn(폭스콘). 약…

2026년 7월, 경찰청 국가수사본부가 GitHub 개인 액세스 토큰(Personal Access Token, PAT) 대량 유출 사건을 확인했다고 발표했다. 별건 사이버범죄 수사 중 한 용의자가 …

윈도우 인증은 평문 비밀번호가 아니라 그 비밀번호에서 파생된 해시(NTLM) 또는 티켓(Kerberos)으로 이루어진다는 게 핵심이다. 그래서 평문 비밀번호를 몰라도 해시/티켓만 있으면 그 계정으로…

eBPF(extended Berkeley Packet Filter)는 커널을 재컴파일하지 않고도 커널 내부에서 샌드박스된 프로그램을 실행할 수 있게 해주는 리눅스 기능이다. 원래는 네트워킹/트레이싱…

용어 정리 글에서 RELRO를 "GOT를 읽기 전용으로 바꿔서 GOT overwrite를 막는 보호기법"이라고 짧게 설명했는데, 실제로는 Partial RELRO와 Full RELRO가 방어 강도에…

PIE도 아니고, libc 주소도 안 새고, libc 버전조차 모르는 상황이면 ret2libc나 ROPtosystem 같은 기법을 못 쓴다. 이럴 때 쓰는 게 ret2dlresolve다 — 바이너리…

XSS가 "브라우저가 해석하는 HTML/JS"에 사용자 입력이 섞여드는 문제라면, SSTI는 "서버가 해석하는 템플릿 문법"에 사용자 입력이 섞여드는 문제다. 이 블로그도 EJS로 서버 렌더링을 하…

애플리케이션이 사용자 입력을 그대로(혹은 살짝 가공해서) 셸 명령의 일부로 넘길 때 생기는 취약점이다. SQL Injection이 DB 쿼리 문법을 깨는 거라면, Command Injection은 …