[Lord of SQL Injection] 사이트 소개

웹해킹 공부를 하기 좋은 방법이 여러가지가 있는데, 그 중 하나는 웹해킹 워게임을 푸는 것이라고 생각합니다. 워게임은 해킹관련 문제들을 풀어볼 수 있는 사이트라고 보시면 이해하기 편합니다.

그러한 웹해킹 워게임 사이트 중에서도, SQL Injection이라는 해킹 기법에만 초점을 맞춘 워게임 사이트가 있는데, 통칭 Lord of SQL Injection이라고 불립니다.

해당 사이트 링크는 다음과 같습니다.

https://los.eagle-jump.org/

이 사이트는 Rubiya라고 하시는 분이 제작했다고 알려져 있고 당연한 이야기일 수도 있겠지만 SQL Injection에 관심이 많다고 합니다. (운영은 stypr이라는 분이 한다고 하네요)

Rubiya라고 하는분이 해커스쿨 사이트에 올린 SQL Injection 관련 문서들도 있습니다.

초보자용 문서

http://hackerschool.org/Sub_Html/HS_Posting/?uid=42

전문가용 문서

http://hackerschool.org/Sub_Html/HS_Posting/?uid=43

SQL Injection은 간단하게 설명하자면, 웹 사이트 사용자가 입력한 값이 웹 서버로 가서, 그 값을 토대로 SQL 쿼리문을 만들고, 그 쿼리로 DBMS에 명령을 내립니다. 이때 사용자가 입력한 값이 SQL 쿼리문을 요렇게 저렇게 변형시켜서 웹 사이트 개발자가 의도하지 않은 동작을 하도록 만드는 공격 기법이 SQL Injection이라고 할 수 있습니다.

웹 어플리케이션을 개발해보신 분이라면 좀 더 이해하기 쉽겠지요? 그래서 웹 해킹을 잘하려면 웹 개발에 대하여 잘 알아야 한다는 이야기도 있습니다. 스타트업 회사에서 인턴을 하면서 웹 개발을 1년가까이 해본 저로서는 맞는 이야기라고 생각합니다. 웹 개발 경험이 많이 있거나, 웹 서비스 자체에 대한 이해도가 높을 수록 웹 해킹 기법에 대하여 알게 되었을 때 빨리빨리 습득한다고 생각합니다.

이제 Lord of SQL Injection 사이트에 대해 좀더 알아보겠습니다.

위에 알려진 링크로 이동하시면 다음과 같은 페이지가 나타납니다.

이 사이트는 IE(Internet Explorer: 인터넷 익스플로러)를 지원하지 않는다라는 이야기가 보이네요. 웹 해킹을 하시려면, 아니 웹 개발과 같은 웹 관련된 무언가를 하시려면 필수적으로 크롬 브라우저는 설치하시는 것을 추천합니다. 이유는 다양하게 있겠지만, 웹 표준을 가장 잘 준수하는 웹 브라우저이기도 하고, 성능과 보안측면에서도 뛰어나며, 여러 강력한 확장 프로그램들도 지원합니다. 크롬 브라우저에 내장된 개발자도구 역시 좋습니다.

enter to the dungeon을 눌러서 로그인 페이지를 한번 띄워보겠습니다.

아주 심플한 로그인/회원가입 창이 나타납니다. 이런 워게임 사이트에 가입을 하실 때 어느정도 눈치채신 분도 있겠지만, 일반적인 웹 서비스를 제공하는 사이트에 비해 UX가 몹시 떨어집니다. Join 버튼을 눌렀을 때, 패스워드 확인과 같은 필드가 아예 없는 것을 비롯해서, 비밀번호 찾기 등의 기능도 없습니다. 패스워드의 길이제한이라던지, 특수문자를 몇개를 넣으라던지 같은 제약사항도 없는 경우가 많습니다.

그리고 한가지 더 조언해드리는 바로는 이러한 사이트들은 보통 소위말하는 해커, 정보보안쪽에 관심이 많거나 그쪽 분야에 종사하는 분들이 만든 사이트이고 일반적으로 회원가입한 패스워드가 서버에 암호화되어 저장되지 않을 가능성이 높습니다. 다르게 말하면 여러분들이 가입할때 기입한 패스워드는 사이트 운영자가 그대로 볼 수 있다는 것이지요. 따라서 패스워드는 1234 등과 같이 털려도 상관없는 값으로 하는 것을 추천드립니다.

이렇게 회원가입 후 들어가보도록 합시다.

대충 이러한 페이지가 나타나게 된다. 저기 나타난 몬스터들이 각각 Level의 문제들을 나타내는 것이고, 몬스터 이미지를 클릭하면 해당 문제로 넘어갈 수 있다. 일단 첫번째 저 몬스터를 클릭해서 Level 1을 풀어보겠습니다.