콘텐츠로 이동

HTTP(S) 분석과 공격

한 줄 요약

HTTP는 공격의 거의 모든 단계(전달·공격·설치·C2·유출)에 쓰입니다. 이 섹션은 HTTP 기초 위에서, 실제 악성 HTTP(S) 트래픽을 빠르게 판정하고 깊게 파고드는 방법을 다룹니다. 평판 조회 같은 자동 방법부터 헤더·내용 분석, 파일 추출, 이상 징후 찾기, 그리고 HTTPS(TLS) 분석까지 이어집니다.

읽는 순서

# 페이지 핵심
1 HTTP 악용의 단계, 분석 방법, URL 평판 킬 체인 단계별 HTTP 흔적, 자동·수동 분석 고르기, URL 평판 조회와 함정, OPSEC·디팽, 확인 문제
2 스크린샷, 샌드박스, 수동 분석으로 넘어갈 때 스크린샷으로 피싱 확인과 결과 읽기, 도구별 공유 여부, 네트워크형·VM형 샌드박스와 도구 고르기, 샌드박스 회피, 약한 신호를 모으는 수동 분석, 확인 문제
3 User-Agent와 쿠키로 악성코드 찾기 User-Agent가 들키는 이유, 칸별 분해와 도구, 빈도 분석(요청 수와 PC 수), 버전 노화, 쿠키에 숨은 C2, 공급망 공격 사례, 쿠키 악용 판별표, 확인 문제
4 Base64 — 원리, 알아보기, 수상한 Base64 왜 생겼나, 비트 단위 변환과 패딩, 앞글자로 파일 종류 짐작하기, 디코딩 명령(PowerShell UTF-16LE 포함), 정상 사용처(JWT·Basic 인증·ViewState)와 수상한 Base64 판단, 확인 문제
5 정상 사이트의 악성 파일, 파일 추출, 잦은 요청, IP 직접 접속 클라우드 공유로 배포되는 악성 파일, Wireshark·tshark·Zeek 파일 추출과 안전 수칙, 잦고 규칙적인 GET·POST 찾기, IP 직접 접속과 루트 POST, 확인 문제
6 익스플로잇 킷 판별과 악성·수상·정상 판정 연습 익스플로잇 킷 감염 흐름, 트래픽 단서와 성공 여부 확인 순서, 판정 연습 3개(Log4Shell 유입 공격, 동적 DNS 리디렉션 사슬, jQuery 위장 C2), 확인 문제
7 HTTPS — TLS 해독, 해독 없이 보는 법, 인증서 읽기 암호화가 보안팀을 가리는 이유, TLS 검사의 동작과 한계(고정·개인정보·루트 CA), 해독 없이 계층별로 보이는 것, 인증서 필드 읽기(openssl, Zeek ssl/x509), 수상한 인증서 신호, 확인 문제
8 TLS 지문(JA3·JA3S·JARM·JA4)과 TLS 1.3, HTTP(S) 분석 정리 JA3·JA3S 계산법, JA3가 흔들린 이유와 JA4 읽는 법, JARM과 OPSEC 위험, TLS 1.3이 빼앗은 것(인증서·수동 해독·다운그레이드·ECH로 SNI까지), SSLKEYLOGFILE, 모듈 점검 순서, 확인 문제

이어서 추가될 내용

이 모듈은 끝났습니다. 다음은 새 섹션인 SMTP·이메일 분석입니다.

꼭 기억할 것

  1. HTTP는 공격의 거의 모든 단계에 쓰인다. 단계마다 로그 모양이 다르다.
  2. 빠른 자동 확인부터, 답이 안 나오면 수동 분석으로.
  3. 평판 결과 없음 ≠ 안전. 좋은 도메인 ≠ 안전한 URL.
  4. 공개 스캐너 제출은 정보를 흘릴 수 있다. URL은 디팽해서 기록한다.