인젝션 · 입력값 검증
- SQL 인젝션(에러·블라인드·시간 기반)
- OS 명령·LDAP·XPath 인젝션
- XSS(저장·반사·DOM), CSRF
- SSRF, XXE, 파라미터 변조
WEB VULNERABILITY ASSESSMENT
PHP 웹 취약점 진단 · 모의해킹
홈페이지, 관리자 페이지, 쇼핑몰, API를 공격자 관점에서 점검합니다. 스캐너가 놓치는 인증 우회·권한 상승·결제 로직 결함은 엔지니어가 직접 찾고, 찾은 취약점은 직접 고친 뒤 다시 점검합니다.
WHEN
이럴 때 진단이 필요합니다
- 원청·발주처 보안점검을 앞두고 있을 때점검 전에 미리 찾아 고쳐 두면 지적사항과 재조치 비용이 줄어듭니다.
- 회원·주문·문의 등 개인정보를 받는 사이트웹 취약점은 개인정보 유출의 가장 흔한 출발점입니다.
- 오래된 관리자 페이지·게시판을 쓰고 있을 때몇 년 전 만든 관리 기능은 인증·권한 검사가 빠진 경우가 많습니다.
- 새 서비스 오픈이나 대규모 개편 직전운영 전 점검이 운영 후 사고 대응보다 훨씬 저렴합니다.
- 해킹·변조 의심 후 재발 방지가 필요할 때침입 경로가 된 취약점을 막지 않으면 같은 방식으로 다시 들어옵니다.
- API·모바일 앱이 같은 서버를 쓸 때웹 화면은 막혀 있어도 API에서 데이터가 그대로 노출되는 경우가 많습니다.
SCOPE
점검 항목
OWASP Top 10과 주요정보통신기반시설 기술적 취약점 분석·평가 기준(웹 항목)을 바탕으로, 사이트 구조에 맞춰 항목을 정합니다.
인증 · 세션 · 권한
- 로그인 우회, 무작위 대입 방어
- 세션 고정·탈취, 쿠키 보안 속성
- 수평·수직 권한 상승(IDOR)
- 관리자 페이지 노출·접근통제
파일 처리
- 파일 업로드 확장자·MIME 검증 우회
- 업로드 폴더 PHP 실행 여부
- 파일 다운로드 경로 조작
- 웹셸 업로드 가능성
비즈니스 로직
- 결제 금액·수량·가격 변조
- 쿠폰·포인트 중복 사용
- 본인인증·비밀번호 찾기 우회
- 주문·신청 단계 건너뛰기
API · 모바일
- REST/JSON API 인가 검증
- 과도한 개인정보 응답
- 하이브리드 앱 웹뷰 취약점
- API 키·토큰 노출
서버 · 설정 노출
- 디렉터리 리스팅, 백업·설정 파일 노출
- 에러 메시지·버전 정보 노출
- HTTPS·보안 헤더 적용 상태
- 불필요한 HTTP 메서드
PROCESS
진행 절차
- 01
범위 협의 · NDA
대상 URL·계정·제외 기능·점검 시간대를 정하고 비밀유지계약을 맺습니다.
산출물: 범위 정의서 - 02
자동 스캔 + 수동 점검
스캐너로 넓게 훑고, 로그인 이후 기능과 업무 로직은 엔지니어가 직접 점검합니다.
산출물: 점검 기록 - 03
결과 보고
재현 절차(PoC)와 CVSS 기반 위험도, 우선순위별 조치 방법을 정리합니다.
산출물: 진단 보고서 - 04
조치
원하시면 소스 수정·설정 변경까지 직접 진행합니다. 다른 업체가 만든 시스템도 가능합니다.
산출물: 변경 내역서 - 05
재점검 · 증적
같은 기준으로 다시 점검하고, 원청·감사 제출용 결과서를 작성합니다.
산출물: 조치 결과서
DELIVERABLES
산출물
- 진단 보고서취약점별 위치·영향·위험도
- 재현 절차(PoC)개발자가 그대로 확인 가능
- 조치 가이드PHP 코드 예시 포함
- 재점검 결과서원청·감사 제출용
FAQ
자주 묻는 질문
취약점 진단과 모의해킹은 무엇이 다른가요?
취약점 진단은 정해진 항목을 빠짐없이 확인하는 점검이고, 모의해킹은 실제 공격자처럼 여러 약점을 엮어 어디까지 침투할 수 있는지 확인하는 점검입니다. 보통 두 방식을 함께 진행하며, 목적(원청 점검 대응, 사고 예방 등)에 맞춰 비중을 정합니다.
점검 중에 운영 중인 사이트가 멈추지 않나요?
운영 환경에서는 서비스에 영향이 없는 비파괴 방식으로 점검합니다. 대량 요청이나 데이터 변경이 필요한 테스트는 사전 승인을 받아 업무 외 시간이나 스테이징 환경에서 진행하고, 점검 일정과 출발 IP를 미리 공유합니다.
기간과 비용은 어떻게 정해지나요?
점검할 화면·기능 수, 관리자 기능과 API 포함 여부, 재점검 횟수에 따라 달라집니다. 무료 기초 진단으로 규모를 확인한 뒤 일정과 견적을 함께 안내합니다.
진단만 하고 끝나나요? 조치도 해 주나요?
보고서에서 끝나지 않습니다. 원하시면 PHP 소스 수정과 서버 설정 변경까지 직접 진행하고, 조치가 제대로 됐는지 재점검해 결과서를 드립니다.
소스코드가 없어도 점검할 수 있나요?
웹 취약점 진단과 모의해킹은 외부에서 진행하므로 소스가 없어도 가능합니다. 다만 조치 단계에서는 소스나 서버 접근이 필요합니다.
CONTACT
무료 PHP 보안진단 신청
시스템 개요만 알려 주셔도 됩니다. 영업일 기준 1일 이내에 담당 엔지니어가 연락드립니다.
- 전화1566-5767
- 이메일sinit@sinit.co.kr
- 팩스0303-0007-5767
침해 사고가 의심되나요?
서버를 끄거나 포맷하기 전에 전화 주세요. 증거 보존 방법부터 안내해 드립니다.