개발자
결과 화면
결함마다 재현 순서, 계정별 응답 비교, 요청·응답 원문을 봐요. 응답 속 개인정보는 가려져 있어요.
01점검 항목
이 6가지를 계정을 바꿔 가며 시험해요
항목마다 국내 기준 번호를 붙여요. 결과서의 기준 대응표에 같은 번호가 실려요.
G-01
남의 데이터 접근
계정 A가 만든 주문 번호로 계정 B가 조회·수정 요청을 보내요. 열리고 A의 값이 보이면 결함이에요.
이렇게 보내 봐요
GET /api/orders/10482OWASP API1 · 안전성 확보조치 제5조 · ISMS-P 2.5.1
G-02
관리자 기능 호출
관리자 계정에서만 본 경로를 일반 회원 토큰으로 불러요. 응답이 오면 결함이에요.
이렇게 보내 봐요
GET /api/admin/membersOWASP API5 · 안전성 확보조치 제5조 · ISMS-P 2.5.1
G-03
권한 필드 변조
가입·수정 요청에 role, is_admin 같은 값을 섞어 보내고 다시 조회해요. 값이 바뀌면 결함이에요.
이렇게 보내 봐요
POST /api/users {"role":"admin"}OWASP API3 · 안전성 확보조치 제5조 · ISMS-P 2.8.1
G-04
토큰 없는 쓰기
쓰기 경로를 로그인 없이 불러요. 막히지 않으면 결함이에요. 기본으로 꺼져 있고 시험용 주소에서만 켜요.
이렇게 보내 봐요
POST /api/orders (토큰 없음)OWASP API2 · 국내 기준 대응 확정 전
G-05
파일 경로 조작
다운로드 경로에 ../ 나 남의 파일 번호를 넣어요. 파일이 내려오면 결함이에요.
이렇게 보내 봐요
GET /api/files/../other-user.pdfOWASP API1 · 국내 기준 대응 확정 전
G-06
오류 노출
없는 자원과 잘못된 값을 보내요. 500 오류나 서버 경로·스택이 보이면 결함이에요.
이렇게 보내 봐요
GET /api/orders/99999999OWASP API8
02결과를 받는 방법
결과 화면, 결과서, 확인 링크
같은 결과를 읽는 사람에 맞춰 세 가지로 보여 드려요.
팀 전체
한국어 결과서
표지, 심각도별 건수, 결함 목차, 결함 장, 기준 대응표가 들어간 PDF와 웹 보기예요.
일을 맡긴 회사
확인 링크
로그인 없이 항목별 통과 여부와 마지막 점검 시각만 보여요. 언제든 끌 수 있어요.
03재점검
고친 뒤 결함 하나만 다시 점검해요
판정은 수정 확인, 여전히 취약, 미점검, 실패, 대기 다섯 가지예요. 회차마다 이력이 남아요.
