독립 보안 연구
Security Audit Report
보안 취약점 점검 보고서
공개용 버전. 민감 식별자 가림 처리. 원본은 리포지토리 소유자에게 비공개로 전달됨.
MAJOR PROJECT · SECURITY RESEARCH
Security Research
취약점을 찾고, 책임 있게 알린다.
🛡️
Image coming soon
OVERVIEW
보안은 시스템을 빌더의 관점이 아니라 공격자의 관점에서 보는 일. 실제 배포된 시스템을 감사하고, 발견한 취약점을 책임 있게 disclosure 하는 end-to-end 과정을 통해 배운다. 학교 동료의 사이트 cisixers.org에 대한 28페이지 한영 bilingual 보안 감사 보고서를 작성, HackerOne/Bugcrowd 포맷으로 정리해 직접 disclosure.
보고서
WHY I'M BUILDING THIS
내가 만든 것이 깨지지 않으려면 깨는 법을 알아야 한다. 그리고 보안은 '잘 모르고 만든 사람'을 비난하는 게 아니라 같이 고치는 일이라는 걸 disclosure 과정에서 배웠다.
SAMPLE FINDINGS
- CISIXERS-001 CRITICALGoogle OAuth Client Secret이 .env를 통해 public 레포지토리에 커밋
- CISIXERS-002 / 006 HIGHFirestore & Storage Rules (test mode → deny-by-default 권고)
- CISIXERS-003 / 005 MEDIUMGoogle OAuth `hd` 파라미터 누락 (도메인 제한 없음)
- CISIXERS-007 MEDIUMlocalStorage에 사용자 신원 중복 저장
- CISIXERS-013 INFO`.DS_Store` git 커밋
TRAINING & PRACTICE
- OWASP Juice Shop — DOM XSS, JWT None Attack, IDOR (basket access)
- TryHackMe — Upload Vulnerabilities room, reverse shell + flag 획득
- JWT 토큰 분석 및 권한 상승 실습
RESEARCH INTERESTS
- Zero-day vs N-day 취약점 분류
- Web application security
- Authentication / authorization 패턴
TOOLCHAIN
gobuster
curl
Chrome DevTools
OrbStack Ubuntu VM
macOS