웹 애플리케이션 보안: 정찰, 공격, 방어 세 단계로 배우는 웹 애플리케이션 보안의 모든 것

49

1

장

소프트웨어 보안의 역사

오늘날 해커가 웹 브라우저를 통해 액세스할 수 있는 사용자와 데이터를 주 대상으로 삼는다고

는 해도

OS

를 대상으로 하는 해커와 많은 유사성이 있다. 확장성(한 타깃에서 다른 타깃으로

이동 )과 위장술 (악성코드를 정당한 코드 사이에 숨김 )은 웹 브라우저를 공격할 때 그대로 적

용된다.

현재의 공격은 이메일, 소셜 미디어, 인스턴트 메시징 등을 통해 규모가 커졌다. 일부 해커는

단 한 곳의 악의적 웹사이트를 홍보하기 위해 정당한 네트워크나 진짜 웹사이트를 만들기도

한다.

악성코드는 전혀 문제가 없어 보이는 인터페이스 뒤에 숨겨져 있을 때가 많다. 피싱 공격 (자격

증명

credential

훔치기)은 소셜 미디어나 은행 사이트와 외형과 느낌

look

and

feel

이 거의 똑같은 웹사

이트를 통해 일어난다. 해커들은 브라우저 플러그인을 통해 데이터를 훔치며 자기들이 소유하

지 않은 웹사이트에 악성코드를 심는 방법까지 알아내곤 한다.

1.7

월드 와이드 웹의 부흥(

2000

년경)

1990

년대에 만들어진 월드 와이드 웹은

1990

년대 말부터

2000

년대 초에 폭발적인 인기를 얻

었다.

1990

년대의 웹은

HTML

로 작성된 문서를 공유하는 용도로만 사용됐다. 웹사이트는 사용자

경험을 신경 쓰지 않았으며 서버에 데이터를 입력해서 웹사이트의 흐름을 수정할 권한은 극소

수의 사용자에게만 주어졌다. [그림

1

-

4

]는

1997

년 애플 웹사이트 (

apple

.

com

)의 모습으로

순수하게 정보성 데이터만으로 구성된 것을 볼 수