[ISEC 2009] 손쉬운 해킹기법과 그 대응법

와우해커 박찬암, ‘다양한 해킹’ 주제로...어렵지 않은 해킹기법 소개

행정안전부 주최로 9월 8일부터 9일까지 서울 삼성동 코엑스 1층 그랜드볼룸에서 개최되는 보안컨퍼런스 ‘ISEC 2009’에서 인하대학교에 재학 중이면서 와우해커 멤버로 활발한 활동을 펼치며 대규모 해킹방어대회 우승 등의 경력을 가지고 있는 박찬암 씨는 컨퍼런스 첫째날인 8일, ‘다양한 해킹(Various Hacking)’이란 주제로 해킹시연을 펼친다.

이날 해킹시연에서는 최근 개최된 블랙햇과 데프콘 컨퍼런스에서 발표되었던 주제인 Advanced SQL Injection 기법에 대해 알아본다. 이는 SQL Injection 취약성을 이용해 Stacked Query(또는 Batched Query)를 사용하지 않고, 원격 코드를 실행하는 기술을 다루는 내용이다. 쉬운 개념의 간단한 기법이기 때문에 대부분의 참가자가 어려움 없이 들을 수 있을 것이라 생각한다.

또한 얼마 전 발표된 리눅스 커널상의 sock_sendpage() 취약성과 그에 대한 익스플로잇을 분석해 보고, 해당 취약성을 공격 코드로 구현하기 위해 사용된 NULL 주소 영역에서의 메모리 사상 방지 우회 및 SELinux와 LSM의 설정을 무력화 시키는 기술 등을 알아 볼 것이다.

마지막으로 취약성을 방어 할 수 있는 패치의 원리 또한 살펴보도록 한다. 아울러 가용시간이 남는다면 추가로 간단한 생활 속의 해킹을 알아보도록 하는 시간이 마련될 예정이다.

■ 참관안내: www.isecconference.org 접속 ->사전참관등록->승인메일 발송->승인메일 출력후 ISEC 2009 현장서 제출->패찰 및 발표자료집 받음.

[김정완 기자(boan3@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다