웹 침투 테스트 — Drupal (CVE-2018-7600)

유형: 인턴십 프로젝트 | 회사: BB CyberSec | 기간: 2024년 11월 – 2025년 1월

---

📋 프로젝트 개요

이 프로젝트는 BB CyberSec에서의 사이버 보안 인턴십의 일환으로 Drupal 웹 애플리케이션에 대해 수행한 전체 침투 테스트를 문서화합니다. 평가는 Drupal 코어에 영향을 미치는 원격 코드 실행 취약점인 CVE-2018-7600 (Drupalgeddon 2)을 식별하고 악용하는 데 중점을 두었습니다.

---

🎯 목표

• Drupal 기반 웹 애플리케이션에 대한 체계적인 보안 감사 수행
• 업계 표준 도구를 사용하여 취약점 식별
• CVE-2018-7600을 악용하여 영향 및 심각도 시연
• 발견 사항 문서화 및 구체적인 보안 조치 권고

---

🛠️ 사용된 도구

---

🔍 방법론

침투 테스트는 표준 PTES (Penetration Testing Execution Standard) 방법론을 따랐습니다:

1. 정찰 및 열거

• Nmap으로 대상 스캔하여 열린 포트 및 실행 중인 서비스 식별
• Droopescan을 사용하여 Drupal 버전 탐지
• 웹 디렉토리 및 엔드포인트 열거

2. 취약점 분석

• CVE-2018-7600 (Drupalgeddon 2) — 심각한 RCE 취약점 (CVSS: 9.8) 식별
• Burp Suite를 사용하여 공격 표면 분석
• Nikto로 추가 약점 스캔

3. 악용

• Metasploit 모듈 exploit/unix/webapp/drupal_drupalgeddon2를 사용하여 CVE-2018-7600 악용
• 대상 시스템에서 원격 코드 실행 성공
• 권한 상승 가능성 시연

4. 사후 악용 및 보고

• 모든 발견 사항을 심각도 등급과 함께 문서화
• 각 취약점의 비즈니스 영향 평가
• 구체적인 수정 권고 도출

---

🚨 취약점 세부 정보

---

✅ 발견 사항 및 권고 사항

---

🛡️ 시연된 기술

Penetration Testing Ethical Hacking Web Application Security Vulnerability Analysis Exploit Development Security Reporting Nmap Metasploit Burp Suite CVE Research

---

⚠️ 면책 조항

이 프로젝트는 BB CyberSec의 승인된 인턴십의 일환으로 통제된 실험실 환경에서 수행되었습니다. 모든 테스트는 명시적 허가를 받고 진행되었습니다. 여기에 문서화된 기술은 교육 목적으로만 제공됩니다. 허가되지 않은 침투 테스트는 불법입니다.

---

👤 저자

Erman Bölükbasi — 사이버 보안 엔지니어 & 컴퓨터 과학 학생

• 🌐 www.bb-cybersec.de
• 💼 LinkedIn
• 🐙 GitHub