🏦 금융 보안 모의해킹 시뮬레이터 Session: 2026-SEC-AUDIT

Target: Core Banking System (Web)
Scenario: SQL Injection & Data Leakage
🧨 NEW — 진짜로 실행되는 라이브 버전 (WASM SQLite)
이 페이지는 시연입니다. 라이브 버전은 실제 SQLite가 브라우저에서 당신의 인젝션을 진짜로 실행하고, 파라미터 바인딩으로 막히는 것까지 보여줍니다. 라이브 실행 →
🔓 공격 시뮬레이션 (Red Team)
🛡️ 시큐어 코딩 실습 (Blue Team)
🔬 실전 스캐너
인터넷 뱅킹 로그인 🔒 Verisign Secured
⚡ SQL Injection 공격 모드
Authentication Bypass Payload
OFF
🖥️ WAS / DB 시스템 로그
[SYSTEM] Web Application Server started.
[SYSTEM] DB Connection Pool initialized.
[INFO] Waiting for user request...
⚖️ 컴플라이언스 위반 분석
공격 실행 후 분석 결과가 표시됩니다.
[심각] 전자금융감독규정 위반 감지
  • 제34조(해킹방지대책): SQL Injection 방지 미흡
  • 개인정보보호법 제29조: 안전조치 의무 위반
  • 신용정보법 제19조: 신용정보 누설 금지 위반

🔬 실전 스캐너 - Burp Suite 기법 적용

아래 스캐너는 실제 Burp Suite Pro가 사용하는 페이로드와 기법 카탈로그를 이 페이지 안의 가상 타겟 (https://vuln-bank.example/login?id=)에 대입해, 스캐너가 취약점을 찾아내는 과정을 실시간으로 보여준다. 방어를 켜고 같은 스캔을 다시 돌리면 같은 페이로드가 전부 차단되는 것, 그것이 방어의 증거다. (모든 요청은 브라우저 안에서만 처리된다. 실제 네트워크 전송 없음)

🛡️ 시큐어 코딩 (Secure Coding)

아래는 SQL Injection에 취약한 Legacy 코드입니다. PreparedStatement를 사용하여 안전하게 수정하세요.

📚 KISA 기술적 취약점 가이드
1. 점검 항목
웹 서비스 > 1. 웹 애플리케이션 > SQL Injection
2. 위험 분석
- 공격자가 입력폼에 SQL 쿼리문을 주입하여 인증 우회
- DB 데이터 유출, 변조, 삭제 가능
- 관리자 권한 획득 후 시스템 장악 가능
3. 조치 방법
- 동적 SQL 대신 정적 SQL(PreparedStatement) 사용
- 입력값에 대한 특수문자(', ", --, # 등) 필터링
- DB 에러 메시지의 사용자 노출 차단