PER(Privacy Enhancement Reward) 제도는 네이버가 국내 최초로 도입한 개인정보보호 신고포상제다. 버그바운티보다 상대적으로 경쟁력이 낮고, 범위도 네이버 서비스 전체라 도전해볼 만하다. 어떤 걸 제보해야 하는지는 공개할 수 없지만, 검색해보면 직접 공개한 사람들도 있으니 참고하면 좋을 것 같다. 참여하면서 좋았던 점을 정리해보...

URL enumeration은 Wayback Machine, Common Crawl, AlienVault OTX 같은 크롤링 데이터 소스를 활용해서, 특정 도메인의 과거·현재 URL을 수집하는 과정이다. 정찰에서 juicy한 데이터를 많이 얻을 수 있는 과정으로, 다양한 공격 표면을 식별할 수 있다. 버그바운티에서는 XSS oneliner나 JS re...

네트워크 모의해킹을 위해 포트스캐닝을 하다보면 tcp/445의 SMB가 거의 항상 보인다. SMB는 다른 컴퓨터의 파일/프린터/폴더를 네트워크 너머로 쓰게 해주는 프로토콜이다. (e.g. \\서버\공유폴더로 접근하는 네트워크 드라이브나 공용 프린터) 공유 폴더나 프린터뿐 아니라, Active Directory에서 로그인하고 그룹 정책을 뿌리는 작업 ...

Google Dorking(=Google Hacking)은 Google 검색엔진에서 필터와 연산자를 이용해 원하는 정보를 체계적으로 검색하는 OSINT 기법이다. 개인적으로 느끼기에 Google Dorking은 알아두면 업무 외에도 요긴하게 써먹을 때가 많다. (e.g. 정확한 키워드가 포함된 검색, 게재된 논문과 같은 이력 검색) 아래와 같은 필...

정보보안 업무를 하면서 모의해킹이나 레드팀 같은 Offensive 쪽으로 가고 싶다는 생각이 점점 커졌는데 막상 뭘 준비해야 할지, 지금까지의 내 경력에서 보완할 것은 무엇인지 방향이 잡히지 않았다. 레드라쿤 디스코드는 예전부터 계속 보고 있었는데, groot님이 멘토링도 진행한다는 것을 알게 됐다. 멘토링은 2시간 반 정도 진행되었다. 우선 우리...