ransomleak/training-application-securityOWASP Top 10 웹 및 API 취약점, Git/시크릿 노출, 그리고 10개 이상의 언어로 된 수정 예제를 다루는 실습형 SCORM 연습문제가 포함된 대화형 보안 코딩 교육.
개발자가 배우는 방식으로 웹 애플리케이션 보안을 가르치는 40개의 무료 오픈 소스 보안 코딩 실습입니다. SQL 인젝션, 크로스 사이트 스크립팅(XSS), 취약한 접근 제어와 같은 실제 취약점을 직접 익스플로잇한 뒤 수정 코드를 작성합니다. OWASP Top 10 for Web Applications, OWASP API Security Top 10, Git 및 CI/CD 저장소 보안 등을 다루는 인터랙티브 SCORM 모듈입니다. JavaScript, TypeScript, Java, C#, Python, Scala, PHP, Ruby, Go, Kotlin으로 된 수정 예제를 제공합니다. 개인 개발자, 비영리 단체, 직원 25명 미만의 소규모 기업에게 무료입니다. 대학 및 교육 기관을 위한 할인된 Enterprise 가격을 제공합니다.
👥 창립자와 대화하기 | 🔗 전체 라이브러리 둘러보기 | 🎮 라이브 DOM XSS 데모 체험하기
1년에 한 번 OWASP Top 10을 읽고 객관식 퀴즈를 통과하는 것만으로는 프로덕션 환경의 웹 애플리케이션 취약점을 막을 수 없습니다. 개발자는 실제 익스플로잇이 무엇을 하는지 — SQL 인젝션이 데이터베이스를 덤프하는 모습, 크로스 사이트 스크립팅이 세션을 탈취하는 모습, 취약한 접근 제어가 다른 사용자의 데이터를 노출하는 모습 — 를 직접 확인한 뒤, 이를 막는 보안 코드를 작성해야 합니다.
이 무료 오픈 소스 보안 코딩 교육 라이브러리의 모든 실습은 익스플로잇, 추적, 수정의 3단계 방법론을 따릅니다.
의도적으로 취약하게 만든 애플리케이션을 대상으로 실습형 침투 테스트를 수행합니다 — 데이터베이스를 대상으로 한 SQL 인젝션, 브라우저에서 실행되는 XSS, 클라우드 메타데이터 엔드포인트에 도달하는 SSRF — 그런 다음 취약점이 정확히 어떻게 도입되었는지 추적하고 보안 코딩 모범 사례를 적용해 수정합니다.
실습이 다루는 내용:
모든 실습은 100% 합격 기준의 퀴즈로 마무리됩니다. 개발자가 프로덕션 코드를 작성할 시점에는 이미 모든 일반적인 웹 애플리케이션 취약점을 직접 익스플로잇해 보았고, 이를 방지하는 보안 코딩 모범 사례를 알고 있게 됩니다.
모든 실습은 SCORM 1.2 .zip으로 제공됩니다. 어떤 LMS(Moodle, TalentLMS, Docebo, Cornerstone, SAP SuccessFactors, Workday Learning 또는 SCORM을 지원하는 모든 플랫폼)에든 임포트하고, 보안 SDLC 또는 DevSecOps 교육 파이프라인에 포함시키거나, 배포 전에 SCORM Cloud에서 미리 볼 수 있습니다.
화이트 라벨 — 모듈 내부에 로고, 백링크, 출처 표기가 필요 없으며 벤더 종속도 없습니다. DevSecOps 프로그램, 보안 SDLC 이니셔티브, 개발자 온보딩 또는 독립형 애플리케이션 보안 교육의 일부로 활용하세요. 누가 어떤 조건으로 사용할 수 있는지는 아래 라이선스 섹션에서 다룹니다.
이 오픈소스 보안 코딩 교육 라이브러리는 RansomLeak Community License로 배포됩니다(LICENSE 참조). 다음에 해당한다면 무료로 사용할 수 있습니다:
무료 라이선스에 따라 모듈을 어떤 LMS에든 임포트하고, 엔지니어링 팀을 위해 운영하고, 자체 보안 SDLC 교육 프로그램에 포함시키며, 직접 진행하는 워크숍에서 사용할 수 있습니다. 콘텐츠를 독립형 제품으로 재배포하거나 재판매하는 것은 금지되며, 제3자 고객에게 서비스로 제공하는 것도 금지됩니다(MSP 및 컨설팅 업체를 위한 애플리케이션 보안 교육 참조).
교육 예산이 없으신가요? 직원이 25명을 넘지만 보안 코딩 교육 예산이 없다면 문의해 주세요. 공동 마케팅(사례 연구, 추천사, 당사 사이트에 로고 게재 또는 리뷰)을 조건으로 개별 조건에 합의하는 경우가 많습니다.
대학, 학교, 코딩 부트캠프 또는 기타 교육 기관인가요? 교직원이나 학생을 대규모로 교육하는 기관 사용은 교육 할인이 적용되는 Enterprise Plan에 포함됩니다. 가격 책정을 위해 기관 정보와 함께 문의해 주세요.
직원이 25명 이상이거나, DPA, 벤더 계약, 항상 최신 상태인 콘텐츠, 또는 자사 스택에 맞춰 제작된 실습이 필요하신가요? **Enterprise Plan**이 적합합니다. 직원 수에 대한 완전한 상용 라이선스와 함께 보안 및 구매 팀이 요구할 모든 사항이 포함됩니다. 가격 책정을 위해 연락 주세요.
이 저장소의 이전 릴리스는 CC BY-NC 4.0으로 배포되었습니다. 해당 라이선스로 취득한 사본에는 그 조건이 계속 적용되며, 이 버전부터 배포되는 모든 내용은 RansomLeak Community License에 따릅니다.
직원이 25명 이상인 엔지니어링 조직, 교육 기관, 또는 무료 라이브러리가 제공하는 것보다 더 많은 것이 필요한 모든 조직을 위한 플랜입니다. 상용 라이선스 자체 외에도 Enterprise Plan이 추가로 제공하는 것은 다음과 같습니다:
또한, 자체 LMS 운영을 건너뛰고 싶다면, 전체 실습 라이브러리가 탑재된 애플리케이션 보안 교육용 엔터프라이즈 클라우드 플랫폼 이 제공됩니다:
실제 작동 모습을 보려면 연락하세요.
이 콘텐츠를 고객에게 제공하는 것은 무료 라이선스에 포함되지 않으며 MSP 플랜이 필요합니다. 이 플랫폼은 처음부터 멀티테넌트로 설계되어, 단일 창에서 전체 고객 포트폴리오에 걸쳐 보안 코딩 교육을 제공할 수 있습니다:
관심이 있으신가요? 저희에게 연락하세요
클릭재킹 — 투명한 iframe을 오버레이하여 은행 승인 버튼에 대한 클릭을 탈취하고, 실제 승인을 캡처한 뒤 CSP frame-ancestors를 적용합니다.
명령 주입 — 캡처한 요청을 변조하여 서버 측 도구에 두 번째 명령을 연결하고, 서버 비밀이 유출되는 것을 확인한 뒤 인자 목록 실행을 적용합니다.
알려진 취약점이 있는 컴포넌트 — 공개된 CVE를 악용하여 오래된 라이브러리를 통해 코드 실행을 달성하고, 조작된 업로드를 통해 명령을 실행한 뒤 버전을 올리고 CI에서 스캔합니다.
교차 사이트 요청 위조(CSRF) — 피해자가 신뢰한 적 없는 페이지에서 교차 사이트 송금을 자동 전송하여 자금을 빼내고, 쿠키가 함께 전송되는 이유를 확인한 뒤 세션별 토큰과 SameSite를 추가합니다.
디렉터리 트래버설 — 의도된 폴더를 벗어나 다운로드 링크를 통해 시스템 파일을 읽고, 서버에서 /etc/passwd를 빼낸 뒤 정규화(canonicalisation)와 검증을 적용합니다.
