README.MD (2026년 3월)

이 저장소는 각각의 치트시트와 그에 해당하는 가장 중요한 랩들을 포함하고 있습니다.

각 주제에는 자체 치트시트/방법론, 가장 관련성 높은 랩, 그리고 유용한 리소스가 포함되어 있습니다.

⭐이것은 몇 달간 작업한 결과물입니다. 도움이 되셨으면 좋겠습니다. 도움이 되셨다면 별표를 남겨주세요. ⭐

❗이 저장소는 시험을 위한 제 개인 치트시트와 방법론을 포함하고 있습니다 — PortSwigger의 것이 아닙니다. 원하시면 PortSwigger의 자료를 참고하셔도 되지만, 여기 파일들은 제 개인 노트입니다.

❗자신만의 치트시트를 만드시는 것을 적극 권장합니다. 이 저장소는 다른 사람들을 돕고, 예시를 제공하며, 전체 구성을 보여주고, 제 작업과 방법론을 입증하기 위한 것입니다.

💡🤓 이 저장소는 BSCP를 위한 제 모든 Obsidian 노트의 요약입니다. 만들면서 많은 것을 배웠는데, 가능한 한 명확하고 교육적으로 만들고, 모든 개념을 완전히 내재화하여 올바르게 설명할 수 있도록 집중했기 때문입니다.

다음은 PortSwigger가 시험을 위해 제공하는 기본 리소스입니다:

• 사용자 이름 워드리스트
• 비밀번호 워드리스트
• 구분 기호 워드리스트 (웹 캐시 디셉션)

시험은 2대의 머신으로 구성되며, 각 머신은 3단계로 이루어져 있고, 소요 시간은 4시간입니다.

• 1: 모든 사용자 계정에 접근.
• 2: 권한 상승 또는 관리자 계정 손상.
• 3: /home/carlos/secret의 내용을 유출하고 해답 제출

일부 유틸리티

• 가장 중요한 HTTP 헤더
• 각 주제별 추천 HTB 머신
• REGEX 설명 (코드 해석에 유용)
• js-beautify (코드 해석에 유용)
• URL 검증 우회 치트 시트 (SSRF)

열거 및 웹 탐색

• API 테스팅 / 정찰
• 난독화 페이로드 (이스케이프 우회)

PHASE 1 → 초기 사용자 획득

• XSS / DOM 취약점
• 인증 / 브루트 포스
• OAuth
• 호스트 헤더 인젝션
• 웹 캐시 포이즈닝
• 웹 캐시 디셉션
• HTTP 요청 스머글링

PHASE 2 → 권한 상승

• SQL 인젝션
• NoSQL 인젝션
• 클라이언트 측 요청 위조 (CSRF)
• 교차 출처 리소스 공유 (CORS)
• 프로토타입 폴루션
• 인증 -> 비밀번호 재설정
• JWT
• GraphQL API

PHASE 3 → 데이터 유출

• XML - XXE 인젝션
• 서버 측 요청 위조 (SSRF)
• 경로 탐색
• OS - 명령어 인젝션
• 안전하지 않은 역직렬화
• 파일 업로드 (웹 셸)
• 서버 측 템플릿 인젝션 (SSTI)

기타

• 레이스 컨디션
• 클릭재킹

⚠️ 이것은 참고자료입니다 — 항상 직접 확인하고 연구하시기 바랍니다.

❗ 기억하세요: 여러 취약점을 연쇄적으로 활용해야 할 수도 있습니다.

연락처!