00. 실습 원칙과 범위

이 시리즈는 허가된 실습 환경에서 웹 취약점을 직접 진단하고, 그 과정과 결과를 AI(Claude)로 해석·정리하는 학습 기록이다. 본격적인 실습에 앞서, 이 시리즈가 지키는 원칙을 먼저 정리한다.

1. 대상은 "허가된 환경"만

취약점 진단은 명시적으로 허가된 대상에만 수행한다. 허가 없는 서버·서비스에 대한 점검은 그 자체로 불법이다.

구분	예시	이 시리즈에서
직접 구축하는 취약 환경	OWASP Juice Shop, DVWA, WebGoat	주로 사용 (내 PC/로컬 VM)
제공자가 허가한 실습 플랫폼	PortSwigger Web Security Academy, HackTheBox, TryHackMe	이용약관의 허용 범위 내에서
허가받은 버그바운티·모의해킹	프로그램 정책(scope)에 명시된 자산	이 시리즈 범위 밖

:::danger 하지 않는 것

• 허가 없는 외부 서버·서비스 점검
• 실습 환경을 인터넷에 그대로 노출
• 진단 중 알게 된 정보로 실제 피해를 유발하는 행위

무허가 대상에 대한 접근·점검은 정보통신망법 등 관련 법률 위반이며, 이 시리즈의 내용을 그런 목적으로 사용하지 않는다. :::

왜 로컬 구축으로 시작하나

• 외부에 노출하지 않으므로 법적·네트워크 리스크가 없다
• 원하는 만큼 반복·재현할 수 있다
• 환경을 직접 세팅하며 구조를 이해하게 된다

2. AI는 "공격 도구"가 아니라 "학습·분석 보조"

이 시리즈에서 AI의 역할은 결과 해석과 학습 정리다. 특정 대상을 겨냥한 공격 자동화나 페이로드 대량 생성에는 사용하지 않는다.

AI를 쓰는 곳 (O)	AI를 쓰지 않는 곳 (X)
취약점이 생기는 원리 설명	특정 대상용 공격 자동화
요청/응답·에러·로그 해석	무허가 대상 정찰
실습 결과를 문서로 구조화	피해를 목적으로 한 익스플로잇
안전한 코드·대응 방안 도출
점검 체크리스트 정리

tip

"AI가 공격을 대신 해 준다"가 아니라, "내가 한 실습을 AI가 더 잘 이해하도록 돕는다" 가 핵심이다. 결과를 그대로 믿지 말고, 직접 재현·검증한 내용만 기록한다. (→ Notes: 이론으로만 알던 Git, 처음으로 직접 써 보니 에서도 같은 원칙)

3. 공개(문서화)할 때의 선

이 사이트는 공개 사이트이므로, 실습 내용을 글로 정리할 때 다음을 지킨다.

• 원리와 대응 중심: "어떻게 뚫는지"보다 "왜 생기고 어떻게 막는지" 에 무게를 둔다. 재현 가능한 공격 레시피보다 원리·대응이 학습에도, 공개에도 안전하다.
• 대상 식별정보 제외: 사용한 실습 환경(Juice Shop 등)은 밝히되, 실제 서비스를 대상으로 한 경우라면 식별 정보는 가린다.
• 민감정보 필터링: 토큰·계정·실제 IP 등은 캡처·로그에서 제거한 뒤 게시한다. (→ 07. 검색엔진 등록 과 같은 민감정보 원칙)

4. 진행 방식

각 취약점 문서는 다음 흐름으로 구성한다.

원리  → 왜 이 취약점이 생기는가
실습  → 허가된 로컬 환경에서 재현 (고수준으로 기술)
해석  → 요청/응답·결과를 AI로 분석
대응  → 안전한 코드·설정으로 막는 방법
정리  → 점검 체크리스트

5. 다음 단계

1. 01. 실습 환경 구축: 로컬에 취약 환경(Juice Shop / DVWA) 세팅
2. 02. XSS: Cross-Site Scripting
3. 03. SQL Injection

:::info 면책 이 시리즈는 방어 역량 향상을 위한 교육 목적의 기록이다. 모든 실습은 허가된 환경에서 수행하며, 독자 역시 허가된 환경에서만 따라 할 것을 전제로 한다. :::