취약점 진단도구로 많이 활용 되는 TOP10
사용되는 취지는 악의적인 목적으로 중국에서 개발해서 많이 사용 되나 보안담당자들은 간혹 테스트 목적으로도
사용되어진다. 절대 악의적인 목적으로 사용하는일이 없기를 바랍니다..
1. Pangolin - 중국에서 제작되어 상당히 많은 사용자 층을 가지고 있는 공격 or 보안점검툴
2. SQLIer - 취약점이 있는 URL을 검사하고 사용자의개입없이 SQL Injection 취약점을익스플로잇하기 위해 필요한 정보를 점검
3. SQLMap - 블라인드 SQL Injection을 자동으로 수행하는 도구
4. Absinthe - SQL Injection 취약점에 이용하여 데이터베이스의 스키마와 목록을 자동화과정으로 다운로드
5. SQID - SQL Injection Digger. 웹 사이트의 통상적인 오류와 SQL Injection을 찾는 명령행 기반의 도구
6. SQL Power Injector - 웹페이지에서 SQL 명령어를 삽입하는 테스트를 수행
7. FJ-Injector Framework - SQL Injection 익스플로잇을 자동화하여 수행
8. SQLNinja - MS SQL 서버의 웹 애플리케이션의 SQL Injection 취약점을 익스플로잇도구
9. Automatic SQL Injector - 오류 코드가 반환되는 SQL Injection 취약점 분석 가능
10. NGSS SQL Injector - 데이터베이스에 저장된 데이터를 액세스하기 위한 SQL Injection취약점을 이용하여 익스플로잇
동의 없이 진행하는 일반 홈페이지 취약점 점검은 불법행위입니다.
해킹행위 자체는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」에 따라 형사처벌될 수 있는데, 특히 주요정보통신기반시설에 대한 해킹행위는 「정보통신기반 보호법」에 따라 가중된 처벌을 받게 됩니다.
「정보통신망 이용촉진 및 정보보호 등에 관한 법률」에 의한 처벌
o 접근권한 없는 정보통신망 침입 금지
- 누구든지 정당한 접근권한 없이 또는 허용된 접근권한을 넘어 정보통신망에 침입해서는 안 됩니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제48조제1항).
※ 정당한 접근권한 없이 정보통신망에 침입한 행위에 관한 판례
“업무상 알게 된 직속상관의 아이디와 비밀번호를 이용해서 직속상관이 모르는 사이에 군 내부전산망 등에 접속해서 직속상관의 명의로 군사령관에게 이메일을 보낸 경우 정당한 접근권한 없이 정보통신망에 침입하는 행위에 해당한다(대법원 2005.11.25. 선고 2005도870 판결).”
o 위반 시 제재
- 이를 위반하면 3년 이하의 징역 또는 3천만원 이하의 벌금에 처해집니다(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제72조제1항제1호).
「정보통신기반 보호법」에 의한 처벌
o 접근권한 없는 주요정보통신기반시설 침입 등 금지
- 누구든지 접근권한을 가지지 않은 사람이 주요정보통신기반시설에 접근하거나 접근권한을 가진 사람이 그 권한을 초과해서 저장된 데이터를 조작·파괴·은닉 또는 유출하는 행위를 해서는 안 됩니다(「정보통신기반 보호법」 제12조).
※ 주요정보통신기반시설이란?
"주요정보통신기반시설"이란 국가안전보장·행정·국방·치안·금융·통신·운송·에너지 등의 업무와 관련된 전자적 제어·관리시스템 및 정보통신망으로서 분야별로 중앙행정기관의 장이 지정한 시설을 말합니다(「정보통신기반 보호법」 제2조제1호).
o 위반 시 제재
- 이를 위반하면 10년 이하의 징역 또는 1억원 이하의 벌금에 처해지며, 그 미수범도 처벌됩니다(「정보통신기반 보호법」 제28조).
모의해킹을 위해 오픈소스 등으로 별도의 서버 또는 가상머신을 구축하는 것이 좋으며, 아래 테스트 사이트를 통해 스캔 및 점검도 가능합니다.
<모의해킹용 테스트 오픈소스>
Damn Vulnerable Web App(DVWA)(http://dvwa.co.uk/)
Wiz-mall 위즈몰(http://www.shop-wiz.com/sub/wizmall)
OWASP에서 웹 취약점 테스트를 위해 제공하는 VM웨어용 가상이미지 파일 다운로드 및 프로젝트 페이지
http://sourceforge.net/projects/owaspbwa/files/
리눅스, 아파치, PHP, MySQL의 보안을 학습하기 위한 가상환경을 제공
http://sourceforge.net/projects/lampsecurity/
웹취약점 테스트를 하기 위해 제작된 가상이미지
http://sourceforge.net/projects/websecuritydojo/
SQL 인젝션을 테스트하고 실험해 볼 수 있는 환경(소스)를 제공하는 사이트
https://github.com/Audi-1/sqli-labs
<테스트 사이트>
IBM에서 취약점 점검툴의 테스트를 위해 제공해주는 사이트
http://demo.testfire.net
침투테스트 가상환경을 샌드박스 형태로 제공하여, 온라인상에서 모의해킹을 해볼수 있는 사이트
https://hack.me/
온라인상으로 프로그래밍언어를 실행하고 컴파일할 수 있는 사이트
http://compileonline.com/
온라인 모의해킹 사이트
http://hack-me.org/index.php?p=home
OWASP 취약점을 바탕으로한 취약점 테스팅 가상환경
http://sourceforge.net/projects/vicnum/
다양한 환경에서 악의적인 코드를 분석할 수 있는 가상머신
http://bruteforce.gr/honeydrive
웹취약점 테스트 환경을 제공하는 사이트
https://www.pentesterlab.com/exercises
웹해킹 전문가가 만든 침투테스트를 위한 가상 이미지
https://bechtsoudis.com/work-stuff/challenges/drunk-admin-web-hacking-challenge/
다양한 모의 해킹를 실습하고 트레이닝할 수 있는 기능을 제공하는 툴
http://sourceforge.net/projects/null-gameover/
침투테스트 환경을 제공(DVL)
http://sourceforge.jp/projects/sfnet_virtualhacking/downloads/os/dvl/DVL_1.5_Infectious_Disease.iso/
모의해킹 연습 사이트 링크 모음
http://chogar.blog.me/80130034776
