웹 진단 워크플로우
이 페이지의 역할: 점검 항목별로 어떤 문서를 봐야 하는지 알려주는 인덱스. 실제 작업할 땐 사이드바에서 바로 페이지를 열거나 검색창을 이용하세요. Priority 1 + 2 합쳐 22개 페이지 작성 완료 (2026-05). 표에 "(예정)" 으로 표시된 항목은 미작성 —
_migration-plan.md참조.
진단 단계
flowchart LR
A[1. 범위 확정] --> B[2. 정찰/매핑]
B --> C[3. 자동 스캔]
C --> D[4. 수동 점검]
D --> E[5. 영향 검증]
E --> F[6. 증적 정리]
| 단계 | 목적 | 관련 도구/문서 |
|---|---|---|
| 1. 범위 확정 | 점검 대상 URL, 인증 정보, 제외 항목 확정 | (계약/협의 산출물) |
| 2. 정찰/매핑 | 페이지 구조, 엔드포인트, 파라미터 식별 | Burp Sitemap, ffuf, gobuster |
| 3. 자동 스캔 | 알려진 취약점 빠르게 검출 | ZAP, Burp Scanner, wpscan |
| 4. 수동 점검 | 비즈니스 로직, 권한, 입력값 등 수동 검증 | 본 디렉토리의 각 페이지 |
| 5. 영향 검증 | 실제 위협으로 이어지는지 재현 | 각 페이지의 페이로드 / 테스트 케이스 |
| 6. 증적 정리 | 요청/응답, 스크린샷, 재현 조건 정리 | 각 페이지의 취약 판정 기준 |
점검 항목 ↔ 페이지 매핑
OWASP Top 10 2025 기준. 2021 대비 카테고리 순서/구성이 변경되었으니 주의.
| OWASP 2025 카테고리 | 관련 진단 페이지 |
|---|---|
| A01:2025 - Broken Access Control | authorization-idor, csrf, open-redirect, lfi |
| A02:2025 - Security Misconfiguration | security-headers, cors, information-disclosure, http-request-smuggling, http-host-header |
| A03:2025 - Software Supply Chain Failures | (외부 도구 - retire.js, OWASP Dependency-Check, Snyk) |
| A04:2025 - Cryptographic Failures | crypto-failures (예정) |
| A05:2025 - Injection | sql-injection, xss, command-injection, ssti, ssrf, xxe, nosql-injection, prototype-pollution |
| A06:2025 - Insecure Design | business-logic, race-condition |
| A07:2025 - Authentication Failures | authentication, session-management, jwt-attacks, oauth |
| A08:2025 - Software or Data Integrity Failures | insecure-deserialization, file-upload |
| A09:2025 - Security Logging and Alerting Failures | logging-monitoring (예정) |
| A10:2025 - Mishandling of Exceptional Conditions | error-handling |
주요 변경점 (2021 → 2025):
- SSRF가 별도 카테고리(2021 A10)에서 빠지고 A05 Injection 군으로 통합
- "Vulnerable Components"가 "Software Supply Chain Failures"로 확장되어 A03으로 상승
- "Security Misconfiguration"이 A05에서 A02로 상승 (실무 빈도 증가 반영)
- "Mishandling of Exceptional Conditions"이 A10으로 신규 진입
점검 항목 ↔ 페이지 매핑
회사에서 정해진 점검 체크리스트가 나오면 이 표를 그에 맞춰서 갱신할 것.
| KISA 분류 | 점검 항목 | 관련 페이지 |
|---|---|---|
| 입력값 검증 | SQL 인젝션 | sql-injection, nosql-injection |
| 입력값 검증 | 운영체제 명령 실행 | command-injection |
| 입력값 검증 | XSS (Cross-Site Scripting) | xss |
| 입력값 검증 | 파일 업로드 | file-upload |
| 입력값 검증 | 파일 다운로드 / Path Traversal | lfi |
| 입력값 검증 | 템플릿 인젝션 (SSTI) | ssti |
| 입력값 검증 | 프로토타입 오염 (Prototype Pollution) | prototype-pollution |
| 입력값 검증 | XXE / 역직렬화 | xxe, insecure-deserialization |
| 인증/인가 | 인증 우회 | authentication, jwt-attacks, oauth |
| 인증/인가 | OAuth / 소셜 로그인 | oauth |
| 인증/인가 | 권한 상승 (수직/수평) | authorization-idor |
| 세션 관리 | 세션 고정 / 예측 가능한 토큰 | session-management |
| 세션 관리 | 자동완성 / 쿠키 속성 | session-management |
| 정보 노출 | 디렉토리 인덱싱 / 에러 메시지 | information-disclosure, error-handling |
| 정보 노출 | 백업/임시 파일 노출 | information-disclosure |
| 비즈니스 로직 | 가격 조작 / 수량 조작 | business-logic |
| 비즈니스 로직 | Race Condition | race-condition |
| 설정 미흡 | 보안 헤더 누락 | security-headers |
| 설정 미흡 | CORS 잘못된 설정 | cors |
| 설정 미흡 | HTTP 요청 스머글링 (Desync) | http-request-smuggling |
| 설정 미흡 | Host 헤더 변조 (재설정 포이즈닝·캐시) | http-host-header |
| 클라이언트 | CSRF | csrf |
| 외부 요청 | SSRF | ssrf |
| 외부 요청 | XXE | xxe |
| 외부 요청 | Open Redirect | open-redirect |
환경 설정
별도 환경설정 페이지로 분리 예정. 지금은 체크리스트만.
- Burp Suite CA 인증서 브라우저에 설치
- 점검 대상 도메인을 Burp Target Scope에 추가
- 점검용 테스트 계정 2개 이상 발급받음 (수평 권한 점검용)
- 자동 스캔 허용 여부 / 제외 URL 확인
- 점검 시간대 협의 (운영 영향 최소화)
- 로그/증적 저장 위치 준비 (Burp 프로젝트 파일 + 스크린샷 폴더)