플레이북 / 실전을 위한 안내서

흐름 속으로.

요청 하나씩, 손으로 익히는 보안 테스트.

직접 따라 하는 열두 장의 실습. 스코프를 정하고, 트래픽을 따라가고, 가설을 검증하고, 발견한 것을 증거로 만드세요.

첫 장 읽기 목차 살펴보기
플레이북 The gori
field guide. 캡처부터 리포트까지

네 개의 부 / 열두 장의 실습

목차

처음부터 읽어도, 필요한 장부터 펼쳐도 좋습니다. 각 실습의 체크포인트에서 지금까지의 결과를 확인하세요.

시작하기 →

기초

  1. 엔게이지먼트 준비프로젝트를 만들고, 스코프를 그리고, 테스트를 샌드박스 안에 가둡니다. 모든 액티브 도구가 발동 전에 확인하는 가드레일입니다.
  2. 공격면 매핑스코프가 걸린 캡처를 host→path 트리로 접고, Discover로 한 번도 클릭하지 않은 엔드포인트를 드러냅니다.

수동 루프

  1. 플로우 중 가로채기 및 수정요청을 흐름 중간에 붙잡아 바꾸고 계속 흘려보낸 뒤, 그 변경을 규칙으로 고정합니다.
  2. 파라미터 퍼징캡처한 요청의 한 부분을 표시하고, 워드리스트를 던지고, 튀는 응답을 읽어 냅니다.
  3. 세션 유지한 번 로그인해 토큰을 캡처하고, 이후의 모든 요청을 인증된 사용자로 재전송합니다. 손으로도, 헤드리스로도.

워크벤치

  1. 데이터 디코드와 변환변환기를 파이프라인으로 이어 붙여(디코드하고, 또 디코드하고, 해시하고) 각 단계의 출력을 지켜본 뒤, 재사용하도록 저장합니다.
  2. JWT 공격JSON Web Token을 디코드하고, 클레임을 변조하고, 서버가 실제로 서명을 검증하는지 시험합니다.
  3. 세션 쿠키 크랙과 위조서명된 Flask, Rack, Django 쿠키를 읽고, 그것을 서명하는 비밀키를 복구하고, 직접 만들어 냅니다.
  4. 토큰 랜덤성 평가세션 토큰 수백 개를 수집하고 Sequencer가 그것이 얼마나 예측 가능한지 채점하게 합니다.
  5. OAST로 블라인드 취약점 확인어떤 버그는 응답에 절대 드러나지 않습니다. 서버가 나에게 연결하게 만들어 증명하고, 그 콜백을 잡으세요.

마무리

  1. 트리아지와 리포트흩어진 발견들을 이슈로 모으고, diff로 수정을 증명하고, 동료가 읽을 수 있는 리포트로 내보냅니다.
  2. AI 코파일럿 세션 실행MCP로 같은 프로젝트에 에이전트를 붙이고 중요한 동작을 드러낸 채 사용합니다. 인텔리전스는 설계상 도구 바깥에 있습니다.

시작하기 전에

플레이북은 실제 트래픽을 보냅니다. 테스트 권한이 있는 대상만 gori로 다루고, 그 대상을 스코프 안에 두세요. 아직 요청을 캡처하고 재전송해 보지 않았다면 먼저 10분짜리 Quick Start를 따라 하세요.

이 실전 가이드 사용법

기초부터 시작해 장 순서대로 읽거나, 지금 하려는 작업에 맞는 Part를 펼치세요. 모든 절차는 다음으로 넘어가기 전에 보여야 할 정확한 상태인 체크포인트로 끝납니다. 체크포인트를 통과하지 못했다면 그 자리에서 멈추고, 연결된 가이드에서 도구의 동작을 확인한 뒤 계속하세요.

레퍼런스를 곁에 두기

Guide에서는 각 워크벤치의 동작을 깊이 있게 설명하고, Reference에서는 정확한 CLI 명령, 설정 키, 쿼리 언어 문법을 제공합니다.