포트폴리오 ↗
SK 쉴더스

루키즈 5기

SK 쉴더스 루키즈 5기 오프라인 세션 46일 동안의 기록입니다. 진단 대상 서비스 온데를 만들고, 직접 진단한 뒤, 자동 진단 플랫폼 아르고스를 개발했습니다.

46일지
5단계
05.20 – 07.23기간
단계 1 · Day 1–5

기획 · 팀 세팅

개발 프로세스와 협업 규칙을 정하고, 진단 대상 서비스 이름을 온데로 확정했습니다.

05.20
Day 01

개발 프로세스 및 UI/UX 아키텍처

약 4개월간의 온라인 교육과 3번의 미니 프로젝트를 거쳐, 이제 2개월 반 동안 진행하는 최종 프로젝트를 시작합니다.

05.21
Day 02

프로젝트 명 확정 및 상세 서브 도메인 분할

방향이 정해져 프로젝트 이름과 역할을 구체적으로 정하고 개발을 시작했습니다.

05.22
Day 03

진짜 애자일을 위한 첫걸음 및 팀 협업 표준화 세팅

팀이 더 잘 협업할 수 있도록 애자일의 핵심 가치를 배우고, 우리 프로젝트에 맞는 작업 규칙을 정했습니다.

05.23
Day 04

첫번째 멘토링

취약점 진단이 어떻게 이뤄지는지 모른 채 자동화 플랫폼을 만들면 단순한 기능 구현에 그칠 수 있습니다.

05.26
Day 05

프로젝트 명칭 확정 및 본격 개발 시작

기획을 마무리하고 개발을 시작했습니다. 플랫폼 이름을 정하고, 상세 설계를 바탕으로 첫 코드를 작성했습니다.

단계 2 · Day 6–14

온데 개발

진단 대상인 여행 플랫폼 온데의 프론트엔드·백엔드·인프라를 구현했습니다.

05.27
Day 06

인프라 설계 정리 및 개발 속도를 위한 방식 변경

개발 속도를 높이기 위해 팀의 작업 방식을 바꿨습니다. 인프라를 준비한 뒤 각자 강점이 있는 분야에 집중해 개발을 시작했습니다.

05.28
Day 07

프론트엔드 아키텍처 개선 및 백엔드 통합 시작

HTML 프로토타입 화면을 컴포넌트 기반 React 구조로 옮겼습니다. 백오피스 관리 기능과 3개 상품(숙소·항공·렌터카)의 통합 예약 흐름도 만들었습니다.

05.29
Day 08

프론트 Mock 데이터 제거와 백엔드 전체 모듈 통합

정적 Mock 데이터를 제거하고 백엔드 실제 서버 연동을 위해 리팩터링했습니다. 프론트엔드에 Leaflet 지도를 적용했고, 팀 전체로는 백엔드 서브 도메인 통합과 AWS 보안 인프라 구축을 마쳤습니다.

06.01
Day 09

실전 연동을 위한 API 표준화, BOLA 보안 취약점 개선 및 클라우드 인프라 개선

Mock 데이터를 제거한 뒤 실제 백엔드 API 엔드포인트를 연결했습니다. 프론트엔드 API 예외 처리, BOLA(Broken Object Level Authorization) 취약점을 막기 위한 백엔드 인증 리팩터링, 마스터 데이터 준비, KMS에서 AWS Secrets Manager…

06.02
Day 10

본격 취약점 진단을 위한 공격 메커니즘 이해: 웹 해킹 및 SQL Injection 인증 우회 기법 학습

취약점을 제대로 진단하려면 먼저 공격 방식부터 알아야 합니다. '공격을 알아야 방어할 수 있다'는 생각으로, 진단을 시작하기 전에 웹 해킹의 공격 방식과 SQL Injection 인증 우회 기법을 배웠습니다.

06.04
Day 11

실시간 DB 재고 달력 동기화, 권한(RBAC) 보안 가드 보완 및 로컬 Mock S3(MinIO) 인프라 구축

클라이언트 임시 로직과 하드코딩된 계산식을 제거하고, 실제 데이터베이스와 실시간으로 연결되는 예약 흐름을 만들었습니다. 대용량 재고 조회용 MariaDB 복합 인덱스와 MinIO 기반 로컬 Mock S3 환경을 설정했고, 관리자 3계층 권한(RBAC)과 에러 처리를 보완했습니다.

06.05
Day 12

백엔드 코어 데이터베이스 개편, 결제 파이프라인 연결 및 SQL Injection 심화·CSRF 다층 방어 정리

프론트엔드와 백엔드 연결 상태를 점검하고, 데이터 무결성을 위해 스키마를 크게 수정했습니다. Flyway 중복 마이그레이션 문제를 해결하고 PortOne 실결제 경로 연동을 이어갔으며, 인프런 보안 학습을 바탕으로 SQL Injection 심화 공격(UNION/BLIND)과 CSRF 토…

06.08
Day 13

메인 브랜치 통합, Nginx 배포 패키징, 플랫폼 헬스체크(Health Check) 설정 및 웹 보안 진단 준비

전체 코드를 통합하고 플랫폼 운영 규칙을 정리했습니다. 도메인을 구입하고 온데(onde)를 점검했으며, Nginx 웹 서버 환경 설정, 결제 연동 리팩터링, 백엔드 헬스체크(Health Check) API 설정을 마쳤습니다. 인프런 웹 보안 강의도 끝까지 수강해 이어질 취약점 진단·모의…

06.09
Day 14

진단 대상(온데) 마무리 후 웹 취약점 자동 진단 플랫폼 기획: 오픈소스(ZAP·Semgrep) 분석 및 3대 MVP 시나리오 확정

진단 대상인 여행 플랫폼 '온데(onde)'를 연결하고, 스키마 수정과 PortOne 실결제 연동 구현·검증까지 마쳤습니다. 이어서 온데를 스캔할 '웹 취약점 자동 진단 플랫폼'을 기획했습니다. 오픈소스(ZAP·Semgrep)를 분석한 뒤 AI 우선순위 분류와 Selenium 자동 증적…

단계 3 · Day 15–28

수동 진단 · 이행 점검

온데를 웹/API 기준으로 직접 진단하고 결과보고서와 이행 점검을 정리했습니다.

06.10
Day 15

아르고스(Argus) 명칭·A/B/C 분담, 5개 설계 산출물 및 7월 개발 일정 수립

진단 플랫폼 이름을 '아르고스(Argus)'로 공식 확정하고, 온데(onde)와 저장소를 분리한 뒤 A/B/C 세 팀으로 나눴습니다. A는 가이드라인 진단 범위, B는 Selenium 캡처를 두 부분으로 나눈 R&R, C는 PDF·AWS 배포 역할을 맡았고, 5개 설계 산출물과 7월(0…

06.11
Day 16

WEB/API 취약점 진단 및 모의침투(Penetration Testing) 기록

플랫폼 '아르고스(Argus)'의 개발 가이드에 맞춰, 우리가 만든 진단 대상 여행 플랫폼 '온데(onde)'를 대상으로 수동 모의침투를 시작했습니다. 사전 협의와 자산 분석, STRIDE 위협 모델링을 거쳐 잔고 충전 금액 조작, IDOR 기반 타인 명의 예약 변조, Stored XS…

06.12
Day 17

온데 실서버 배포와 2차 멘토링용 질문 정리

온데(onde)를 AWS에 올리고 Windows Server 연결까지 맞춘 뒤, 마이페이지 명세서 PDF API에 LFI·SSRF 진단용 코드를 심어 두었습니다. 2차 대면 멘토링용으로는 로그인 Body 토큰 중복, Nginx 스캔 범위, ZAP·Semgrep 현업 사용 여부 질문 세…

06.13
Day 18

두번째 멘토링

장대현 멘토님과 2차 대면 멘토링을 하며 진단 대상 여행 플랫폼 '온데(Onde)'의 아키텍처를 자세히 점검받고, 개발 중인 자동 진단 플랫폼 '아르고스(Argus)'의 3단계 사양을 정했습니다. 또 모의해킹 관점, 8개 그룹 28개 항목 진단 기준, 증적 확보 방법을 다룬 멘토님의 특…

06.16
Day 19

온데(Onde) 멘토링 피드백 반영 및 아르고스(Argus) 모듈 별 1인 개발 파이프라인 개발

2차 멘토링에서 나온 피드백을 바탕으로 진단 대상 여행 플랫폼 '온데(Onde)'의 기능 보완과 관리자 로그인 분리를 반영했습니다. 동시에 자동 진단 플랫폼 '아르고스(Argus)'는 기존 A/B/C 팀별 분업 대신 모듈별 1인 개발 방식으로 바꿨습니다. 진단 범위는 정적 분석보다 동적…

06.17
Day 20

아르고스 3주 일정 확정과 온데 DAST 가능성 평가

이전 단계에서 정한 1인 전 과정(End-to-End) 통합 개발 방식을 바탕으로 아르고스(Argus) 플랫폼의 3주 일정을 정했습니다. 장대현 멘토님께 배포된 온데(Onde) 플랫폼과 아르고스의 3단계 사양을 점검받고 실전 진단 방법론 강의를 들었습니다. 또 온데에 첫 동적 스캔(DA…

06.18
Day 21

웹/API 보안 취약점 진단 상세 결과 및 초보 진단자의 시행착오

진단 대상 여행 플랫폼 '온데(Onde)' 실서버 환경을 대상으로 첫 수동 패킷 분석과 웹/API 보안 취약점 진단을 진행했습니다. 처음으로 Burp Suite 프록시 도구를 켜고 원본 패킷을 가로채 가이드라인과 대조하다 보니, 경험이 부족해 단순한 변조 형식을 맞추는 데도 시간이 많이…

06.19
Day 22

웹/API 최초 취약점 진단 결과보고서 — 파라미터 검증과 파일 처리

자동 진단 플랫폼 아르고스(Argus)의 동적 스캔 기준을 정하기 위해, 진단 대상 여행 플랫폼 '온데(Onde)'를 대상으로 첫 전체 취약점 진단을 진행했습니다. 이번에는 비즈니스 로직에 연결된 파라미터가 매우 많아 매핑하는 과정이 쉽지 않았습니다. 처음 분석하는 대량의 스캔 패킷이라…

06.22
Day 23

중간 발표 PPT 작성

중간 발표를 준비하며 그동안 진행한 기획, 개발, 진단 결과를 담은 PPT를 만들었습니다. 이번 일지에서는 AI 기반 개발의 장단점을 다룬 '프로젝트 개요'와 핵심 아키텍처, 팀별 R&R, 이후 로드맵까지 발표 자료의 내용을 정리하고 그림이 필요한 위치를 표시했습니다.

06.23
Day 24

실전 모의침투 보안 진단 보고서 — 3-2 ~ 8-1 항목

진단 대상 여행 플랫폼 '온데(Onde)' 실서버 환경을 대상으로 2차 전체 수동 취약점 진단을 마쳤습니다. 이번 단계는 끝없는 '파라미터 지옥'이었습니다. 회원가입, 결제 사전 검증, 상품 등록, 검색 쿼리 스트링까지 확인할 인자와 필드가 너무 많아 패킷을 하나씩 잡아 바꿔 보는 데…

06.24
Day 25

관리자 백오피스 수동 보안 진단 결과보고서

온데 관리자 백오피스(admin.onde.click) 서버 인프라를 대상으로 SK쉴더스 가이드라인 기준의 첫 수동 취약점 진단을 마쳤습니다. 이번 단계에서는 회원가입 인자, 권한 변경 배열, 쿼리 스트링 등 관리자 기능 전반의 많은 파라미터를 추적하느라 시간과 시행착오가 있었습니다. 읽…

06.25
Day 26

전 영역 보안 보완 이행 점검 결과 (상편: 1-1 ~ 3-6)

이전 첫 취약점 진단에서 확인한 보안 결함을 고치고 안전성을 다시 확인하기 위해, 일반 사용자와 판매자 영역을 대상으로 첫 이행 점검(Re-inspection)을 진행했습니다. 이번 상편 일지에서는 전체 28개 표준 항목 중 절반에 해당하는 1-1 입출력 검증부터 3-6 백업 파일 존재…

06.26
Day 27

전 영역 보안 보완 이행 점검 결과 (하편: 4-1 ~ 8-1)

이전 #26 일지에 이어 여행 플랫폼 '온데(Onde)' 실서버 환경의 첫 웹/API 보안 취약점 이행 점검 하편 결과를 정리합니다. 이번 하편에서는 토큰 인증값 검증, 쿠키 세션 하이재킹 방지, 접근 제어 소유권 매핑, 전체 인프라 컨테이너 설정까지 여러 통제 계층이 얽혀 있어 패킷…

06.27
Day 28

관리자 백오피스 이행 점검 완료 및 Argus 착수

온데 관리자 백오피스(admin.onde.click) 서버 환경을 대상으로 SK쉴더스 가이드라인 기준의 첫 이행 점검(Re-inspection)을 마쳤습니다. 이번 단계에서는 가입 인자, 권한 변경 배열, 쿼리 스트링 등 관리자 기능 전반의 많은 파라미터를 추적해 검증했습니다. 읽기 쉽…

단계 4 · Day 29–40

아르고스 개발

웹 취약점 자동 진단 플랫폼 아르고스의 진단 모듈, 증적, 결과서를 만들었습니다.

06.30
Day 29

세번째 멘토링

장대현 멘토님과 세 번째 대면 멘토링을 했습니다. 그동안 끝낸 수동 진단과 이행 점검을 바탕으로, 중간 발표 PPT를 어떻게 줄이고 보여 줄지, 28개 항목 취약점 캡처 기준을 어떻게 잡을지, 아르고스(Argus) 시연 순서를 어떻게 맞출지 피드백을 받아 정리했습니다.

07.01
Day 30

아르고스(Argus) 진단 모듈 6개 개발

수동 취약점 진단과 이행 점검을 마친 뒤, 아르고스(Argus) 자동 진단 모듈 개발에 들어갔습니다. SK쉴더스 가이드라인의 중요/일반 구분에 맞춰 일단 중요 항목부터 모듈을 만들기로 했고, 맡은 범위를 먼저 끝낸 뒤 여유가 생겨 추가로 더 진행했습니다. 이번 글에서는 그중에서 정리한…

07.02
Day 31

아르고스(Argus) 진단 모듈 9개 추가와 Progress UI·Docker 라우팅 정비

수동 진단·이행 점검에 이어, 아르고스(Argus)에 진단 모듈 9개를 더 붙였습니다. 오픈 리다이렉트(1-5)부터 에러 정보 노출(6-1)까지 SK쉴더스 웹/API 취약점 진단 가이드라인에 맞춘 탐지 로직을 넣고, 전 모듈 Progress UI와 Docker 쪽 통신 예외도 고쳤습니다…

07.03
Day 32

아르고스 코어 리팩토링과 1-1·1-2·1-4·1-6 Staging 통합

각 영역에서 따로 개발하던 진단 엔진과 feature 브랜치를 아르고스(Argus) 대시보드의 한 파이프라인으로 합치기 위해 플랫폼을 크게 정리하고 머지했습니다. 이번 스프린트에서는 SK쉴더스 웹/API 취약점 진단 가이드라인에 맞춰 1-1(XSS/CSRF), 1-2(인젝션), 1-4(…

07.04
Day 33

아르고스 Staging 통합과 비동기 퍼징 구조 정리

이전 스프린트에서 정리한 플랫폼 공통 구조 위에 팀원들의 feature 브랜치 엔진을 Staging 메인라인에 합쳤습니다. 이번 세션에서는 여러 브랜치의 큰 변경을 Staging에 합치며 1-6 입력값 검증 엔진을 넣고, 2-1 악성 파일 업로드 모듈을 새로 만들었으며, 6-1 에러 노…

07.07
Day 34

네번째 멘토링

장대현 멘토님과 네 번째 대면 멘토링을 했습니다. 지난 스프린트에서 합친 모듈을 바탕으로 스캔 엔진이 실제로 잘 동작하고 결과를 확인하기 쉽게 만들기 위한 코어 로직 수정 피드백을 받았습니다. SK쉴더스 웹/API 취약점 진단 가이드라인에 맞춰 자동 스캔 범위를 정하고, 인젝션을 단계별…

07.08
Day 35

멘토링 피드백 반영 진단 엔진(1-2, 4-5, 7-4) 개선과 1-6 Docker 크래시 수정

채용 특강(7/9)을 앞두고, 지난 멘토링에서 받은 '넓게 찾고 단계별로 좁히기(Broad-to-Narrow)'와 다중 권한 세션 교차 검증 피드백을 실서버 진단 엔진에 반영했습니다. 7월 7일에는 4-5 일반계정 권한상승(IDOR) 세션 검증 엔진을 만들고, 7-4 취약한 보안설정(O…

07.09
Day 36

IT 채용 시장 변화와 취업·비즈니스 소프트 스킬 정리

SK쉴더스 현업 인사 담당자가 진행한 채용 특강과 비즈니스 매너 세션 내용을 풀스택 개발자 관점에서 정리합니다. 코딩 실력뿐 아니라 채용 시장에서 필요한 소프트 스킬, STAR 기법을 활용한 이력서·면접 준비법, SK쉴더스의 조직 문화와 기술 환경까지 메모로 남깁니다.

07.10
Day 37

Playwright 증적 스크린샷 (자동: 1-2 · 7-4 · 2-2 / 정리·작업중: 1-6 · 6-1)

진단 결과만 YAML로 남기던 아르고스(Argus)에, Playwright로 증적 스크린샷을 자동으로 찍는 후처리 파이프라인을 붙였습니다. 1-2(인젝션)·7-4(CVE/보안설정)·2-2(파일 다운로드)는 자동 캡처 훅까지 연결했고, 같은 날 1-6 runner 정리와 6-1 오류 페이…

07.13
Day 38

아르고스 Findings·증적 UI 연동, 캡처 확장, ONDE 하드코딩 제거

오늘은 아르고스(Argus) 대시보드 UI를 처음으로 글로 남깁니다. Day 37에서 Playwright 증적 캡처를 붙인 뒤, Attack Surface에서 ONDE 전용 하드코딩을 빼고 Diagnosis에서 섹션별 Findings·! 안내·결과 증적까지 한 화면에서 보이게 다듬었습니…

07.14
Day 39

아르고스 PDF 결과서 생성과 다운로드

오늘은 진단 결과를 화면에서만 보던 것에서 한 걸음 더 가서, 섹션별 PDF 결과서를 Diagnosis에서 받을 수 있게 맞춘 날입니다. Day 38에서 Findings·증적 UI와 아직 꺼져 있던 다운로드 버튼을 둔 뒤, 오늘은 backend/report/ 아래에 섹션 결과서 코드를…

07.15
Day 40

아르고스 AWS 프라이빗 서브넷 배포 아키텍처와 코드 설정

Day 39에서 섹션별 PDF 결과서·다운로드를 붙인 뒤, 오늘은 실서버 가동을 앞두고 아르고스(Argus)를 AWS 프라이빗 서브넷에 두는 배포 구조를 정리했습니다. 로컬 docker-compose와 config.docker.yaml에 남아 있던 localhost·사설 IP·host.…

단계 5 · Day 41–46

발표 · 배포 · 마감

최종 발표 자료를 마무리하고 CI/CD와 실배포 후 산출물을 제출했습니다.

07.16
Day 41

최종 발표 PPT·포트폴리오 정리와 문서화

아르고스 인프라 구축은 다음 주 월요일부터 시작합니다. 오늘은 배포를 서두르기보다 최종 발표 PPT와 포트폴리오를 다시 보면서, 프로젝트를 처음 보는 사람도 문제·기여·결과를 한 흐름으로 이해할 수 있게 만드는 데 시간을 썼습니다.

07.17
Day 42

마지막 멘토링

장대현 멘토님과 마지막 대면 멘토링을 했습니다. 최종 발표 PPT의 텍스트를 줄이고 핵심 화면 위주로 구성을 다시 잡으라는 피드백과 함께, 수동 진단 조치 결과 보완, Argus 자동 진단 기준(httpx / ZAP) 정리, 시연 영상 자막·하이라이트 보완 방향을 받아 반영했습니다.

07.20
Day 43

최종 PPT 보강과 ARGUS 인프라 착수

Day 42 멘토링에서 정리한 발표 구성을 기준으로, 오늘은 최종 발표 PPT를 한 번 더 다듬고 미뤄 두었던 ARGUS AWS 인프라를 실제로 시작했습니다. PPT는 Argus가 무엇을 보고 무엇을 점검하는지, 왜 자동이어야 하고 엔진을 어떻게 나눴는지가 화면으로 보이도록 손봤고, 인…

07.21
Day 44

최종 PPT 마감과 ARGUS 인프라 2일차

Day 43에서 Networking·Frontend까지 올린 ARGUS 인프라 위에, 오늘은 Storage & Secrets·Backend EC2·CI/ECR까지 이어 붙였습니다. 같은 날 최종 발표 PPT도 인프라 비교·자동/수동 역할 분담·개선 방향까지 다듬고 시연 영상으로 마감했습…

07.22
Day 45

ARGUS CI/CD 자동화와 실배포 스모크

Day 44에서 Storage·Backend·CI까지 붙인 뒤 남은 CD를 오늘은 마무리했습니다. Infra에 SSM 배포 워크플로를 올리고, Merge dev push → ECR 빌드 → GitHub App → Infra repository_dispatch → 자동 배포까지 연결했습니…

07.23
Day 46

최종 산출물 제출과 오프라인 세션 기록 마감

Day 45에서 ARGUS CI/CD와 실배포 스모크까지 끝낸 뒤, 오늘은 최종 산출물 제출을 마쳤습니다. 수행계획서부터 시연 영상·발표자료까지 패키지를 올렸고, 이제 남은 건 PPT 소수정과 최종 발표 준비뿐입니다. 일상 개발일지는 여기서 멈추고, 최종 발표 뒤에 마무리 소감으로 오프…