블로그

앞의 글(반응으로 취약점을 추론하기, 전자금융기반시설·주요정보통신기반시설 기준 확인)에서 "어떤 반응이 나오면 어떤 약점을 의심하는가"와 "그게 실제 공식 기준 항목과 일치하는가"를 정리했다. 이번…

소스 코드 없이 웹서버를 진단할 때 실제로 하는 일은 특정 입력을 넣고 서버가 평소와 다르게 반응하는지 관찰하는 것이다. 이 반응 하나하나가 내부 로직을 추론할 수 있는 유일한 단서라서, "이런 반…

RAG(RetrievalAugmented Generation, 검색 증강 생성)는 LLM이 답변을 생성하기 전에 외부 데이터 저장소에서 관련 문서를 먼저 검색해서, 그 내용을 프롬프트에 끼워 넣어 …

하나의 LLM 호출로 대부분의 일을 처리하다가, 어느 순간부터 "이 작업은 프롬프트 하나로는 안 되는데"라는 지점을 만나게 된다. 입력이 너무 길거나, 단계마다 요구되는 능력이 다르거나, 비용과 속…

보안 공부나 실습을 하다 보면 결국 몇 가지 정해진 플랫폼을 돌게 되는데, 처음 시작할 때는 뭐가 뭔지 정리가 안 돼서 시간을 많이 버린다. 버그바운티 플랫폼, 상시 워게임/CTF 문제풀이 사이트,…

Path Traversal / LFI(Local File Inclusion)를 "../를 필터링하면 되는 취약점"으로만 알면, 왜 널바이트 하나가 필터를 통째로 무력화시켰는지, 왜 파일을 "읽기"만…

2026년 5월 30일, CJ ENM이 운영하는 OTT 서비스 티빙(TVING)의 DB에 직접 침입이 발생했다. 최종 집계된 피해 규모는 1,953만 명으로, 역대 국내 개인정보 유출 사고 중 네 …

2026년 4월 말, 전 세계 8,809개 대학·교육기관이 사용하는 학습관리시스템(LMS) Canvas가 침해당했다. 운영사 Instructure는 사이버보안 사고를 조사 중이라고 공식 발표했고, …

2026년 5월 11일, 비교적 신생 랜섬웨어 조직 Nitrogen이 다크웹 유출 사이트 'NitroBlog'에 새 글을 올렸다. 대상은 세계 최대 전자제품 위탁생산업체 Foxconn(폭스콘). 약…

2026년 7월, 경찰청 국가수사본부가 GitHub 개인 액세스 토큰(Personal Access Token, PAT) 대량 유출 사건을 확인했다고 발표했다. 별건 사이버범죄 수사 중 한 용의자가 …