#security

Ruby on Rails Active Storage의 임의 파일 읽기 겸 RCE(CVE-2026-66066, 'KindaRails2Shell', CVSS 9.5)를 공격자 관점으로 재현한다. Rails는 DB에 저장된 content_type만 보고 blob을 이미지로 취급하지만 libvips는 디스크 바이트로 파서를 고른다. MAT 스니퍼(앞 10바이트)와 libmatio(124바이트 버전 필드)의 불일치를 파고들어 크래프트한 MAT/HDF5 파일 하나가 임의 파일 읽기 오라클이 되고, /proc/self/environ에서 SECRET_KEY_BASE를 회수해 변형 서명을 위조하면 무인증 RCE로 이어진다. 격리 Kali 타겟 + 로컬 공격 워크스테이션으로 파일 읽기·HTTP 의사 셸·리버스 셸·직접 만든 메타스플로잇 모듈·8.1.3.1 패치 대조까지 실제 터미널로 추적한다.

LLM용 크롤러 Crawl4AI의 Docker API 언인증 원격 코드 실행(CVE-2026-57572, CVSS 10.0)을 공격자 관점으로 재현한다. /crawl 요청 본문의 browser_config.extra_args가 Chromium 런치 인자에 그대로 흘러가, --no-zygote와 --renderer-cmd-prefix 한 쌍이면 인증 없이 요청 한 번으로 컨테이너에서 명령이 실행된다. 0.8.9의 프록시 전용 denylist가 왜 실행 스위치를 못 막는지, 격리 Kali 타겟 + 로컬 공격 워크스테이션으로 HTTP 의사 셸·리버스 셸·직접 만든 메타스플로잇 모듈·0.9.0 패치 대조까지 실제 터미널로 추적한다.

자기호스팅 AI 플랫폼 Langflow의 언인증 원격 코드 실행(CVE-2026-9198, CVSS 9.8)을 공격자 관점으로 재현한다. 무인증 auto_login이 superuser 토큰을 뿌리고(CVE-2026-9103), '검증'용 엔드포인트 validate/code가 함수 정의를 exec해서(CVE-2026-8481) 함수를 부르지도 않았는데 코드가 도는 전체 흐름을, 격리 Kali 타겟 + 로컬 공격 워크스테이션으로 HTTP 의사 셸·리버스 셸·메타스플로잇·1.10.1 패치 대조까지 실제 터미널로 추적한다.

워크플로 자동화 플랫폼 n8n의 언인증 원격 코드 실행(CVE-2026-21858, 별칭 Ni8mare, CVSS 10.0)을 공격자 관점으로 재현한다. 공개 Form 웹훅이 Content-Type을 검증하지 않아, application/json으로 files.filepath를 넘기면 서버 파일을 임의로 읽는다. 그 파일 읽기만으로 encryptionKey와 owner의 bcrypt 해시를 꺼내 n8n-auth 세션 쿠키를 재계산하고, admin이 되어 Execute Command 노드로 셸을 얻는 전 과정을 격리 Kali 타겟 + 로컬 워크스테이션으로, 취약↔1.121.0 패치 대조까지 실제 터미널로 추적한다.

자기호스팅 AI 플랫폼 Open WebUI의 SSRF 우회(CVE-2026-45400, CVSS 8.5)를 방어자 시점으로 추적한다. urlparse가 검증한 host와 requests/aiohttp가 실제 연결한 host가 어긋나는 파서 불일치를 로컬에서 재현하고, 정상 흐름과의 비교·페이로드 필드 해부·0.9.5 패치 분석·취약점 클래스 일반화·탐지 차단 룰까지 실험 기반으로 정리한다.

zino.kr은 집에 있는 미니 PC 한 대다. 8일치 nginx 로그를 까보니 16만 요청 중 2만 건 넘게 공격이었다. CrowdSec(IPS) + AppSec(WAF) + AbuseIPDB(평판)로 4계층 심층 방어를 직접 구축하고, 실제 공격 로그에서 커스텀 룰을 뽑고, 8일치 로그를 리플레이해 검증하고, 관제 대시보드까지 만든 전 과정 기록.

오랜만에 Next.js 사이트를 직접 뒤적거리며 보안 점검을 했다. 발견한 문제들과 어떻게 고쳤는지 실제 커맨드 결과랑 같이 정리.

Log4j 2.x의 메시지 치환 기능이 JNDI 조회로 이어지고, 조작된 LDAP 응답이 서버에서 임의 코드를 실행시키는 전체 흐름을 Docker + Metasploit으로 직접 재현한 실습 기록. JNDI payload 한 줄이 root 쉘로 바뀌는 과정을 단계별로 확인했다.

React Server Components의 Flight 프로토콜에서 역직렬화 결함이 서버 측 원격 코드 실행으로 이어지는 전체 과정을, 정상 흐름과의 비교·payload 구조 분석·RCE 실증·공격 확장 경로까지 실험 기반으로 추적한다. 취약 랩을 직접 세워 인증 없이 원격 셸을 획득하는 공격자 관점 재현과 패치 전후 대조까지 실제 캡처로 담았다.

Event ID 4624를 출발점으로, 로그온 세션의 문맥을 따라가며 공격 흐름을 읽는 방법을 정리합니다. Logon Type 해석, 권한 상승·프로세스 실행 연계, 실무 탐지 기준까지 포함합니다.

JWT의 구조(Header, Payload, Signature)와 인증 흐름을 실무 관점에서 정리하고, 안전하게 사용하는 방법까지 한 번에 정리합니다.

Windows Security 로그를 기준으로 로그인, 권한, 프로세스, 후속 행위를 연결해서 보는 흐름을 정리합니다.