"악성코드 소설로 배우는 해킹과 보안, 어서 와 해킹은 처음이지 (칼리리눅스로 배우는 해킹과 보안)" 등 해킹과 관련 저자의 책 중 초보자도 책을 읽고 쉽게 실습할 수 있는 책중 "칼리 리눅스로 파헤치는 도커 해킹"을 추천하고 싶다.

  현재 정보보호 관련 담당자로 재직중이지만 처음 업무를 맡고 행할 때 정보보호의 테크니컬한 부분에 대해 공부하긴 어려운 실정이였다. 그래서 주로 구글이나 온라인 교육으로 대체하곤 했지만 한계가 있곤 했었다. 그래서 책을 보고 실습하며 이해할 수 있는 정보보호와 관련 도서를 찾던 중 "악성코드 소설로 배우는 해킹과 보안"를 읽게 되었고, 정보보호를 이론적으로 이해할 수 있었던 계기가 되었다. 그 후 실제 해킹을 실습할 수 있는 툴을 찾게 되었고 "어서 와 해킹은 처음이지"를 거쳐 백트랙을 할 수 있는 칼리 리눅스를 알게 되었고 웹 해킹과 관련하여  "칼리 리눅스로 파헤치는 도커 해킹"를 읽게 되었다.

  모의 해킹 실습에 필요한 리눅스 명령어, 가상 환경 지식, 네트워크 기초, PHP, 루비 스크립트 등을 모두 담고 입문자 혹은 초급자가 사전 지식 없이 해킹 원리를 이해한 후 공격 코드를 짤 수 있게 하는 것이 이 책의 목표에 맞게 잘 구성되어 있어 편하게 웹 해킹의 환경을 구성할 수 있었다. 특히나 CVE 쪽에 대한 지식을 넓혀주어 사내 웹 취약점 점검시 큰 도움이 되었다. 앞으로도 해킹과 관련 초보자를 가리지 않고 안내해주는 책을 집필해주시길 기원하면서...

항상 정보보호의 지식의 전달에 힘써주는 문성호 저자님께 감사하며 리뷰를 마친다.

해킹? 해킹이면 해커가 하는 거 아냐? 리눅스? 도커? 그건 뭐야.....

이 책은 해킹이라는 단어를 들으면 저런 생각부터 들 것 같은 해킹에 대한 지식이 전혀 없는 사람들을 대상으로 지필 한 것 같다.

비단 해킹뿐만 아니라 리눅스나 도커에 대한 개념이 없는 사람들도 포함해서 말이다.

필자도 사실 도커나 리눅스에 대한 지식은 거의 없는 사람이다.

도커는 이 책 때문에 처음 만져보았다.

그나마 컴덕이라 해킹은 예전부터 꽤나 관심을 가지고 있었기에 이 책이 설명하는 큰 줄기에서 설명을 이해하는 것에 대해 큰 어려움은 없었다.

다행이라 생각한다.

다들 해킹이라 하면 어떤 생각부터 드는가? '어렵다, 범죄다. 걸리면 철컹철컹, 일반인이랑은 거리가 멀다.' 같은 생각이 들 것이다.

근데 우리가 사는 세상은 웹이랑 연결되어 있고 그런 세상은 보안 지식이 있는 것과 없는 것은 큰 차이가 있을 것이라 생각된다.

그래서 컴퓨터에 대한 기초가 조금이라도 있는 사람은 이 책을 일독해 보는 것을 권하고 싶다.

이 책은 하이퍼바이저(여기서는 버추어 박스)라는 가상환경에 칼리 리눅스를 설치하고 거기에 도커를 올려서 테스트를 진행한다.

필자는 이미 VMWARE에 길들여진 몸이라 버추어 박스 말고 VMWARE를 사용했다.

책 처음 부분은 리눅스의 명령어와 버추어 박스에 칼리 리눅스 설치에 대한 부분을 설명하는데 선수 지식이 있는 사람이라면 그냥 넘어가도 상관없다.

필자는 도커 설치부터 실습을 따라했다.

이 책의 교육내용은 2장 칼리 리눅스에 포함되어 있는 여러 도구(burp suite나 commix 등)을 사용해서 DVWA에 여러 가지 웹 취약점 실습(XSS, CSRF, SQL Injection 등)을 하는 것을 시작으로 PHP, Spring, Oracle 등의 취약점을 다룬다.

취약점을 어떻게 공략하는지 보여주고 뒤에는 그 취약점을 어떻게 막는지 설명해 주는데 프로그밍에 대한 지식이 없다면 알아듣기 쉽지 않을 것 같다.

그냥 이런 식으로 막는다고 간략하게 알고 넘어가고 깊이 있는 지식은 따로 공부하는 게 좋을 것이다.

이 책은 구글링을 강제한다. 구글링 필수다.

Metasploit도 다루고 루비도 다루고 PHP도 다루는데 문제는 각각의 것들을 진짜 맛만 보여주는 수준으로 다룬다.

이 책은 웹 해킹에는 이러이러한 것이 있고 이러이러한 방법으로 접근하고 공부하면 된다는 지도만 보여주는 것으로 각각의 심화된 내용은 각자가 따로 공부해야 한다.

당장 CSRF나 XSS만 하더라도 DVWA에서 레벨을 LOW로 하면 쉽지만 다른 웹 해킹 사이트(써니나타스 등)의 문제를 풀 수준이 되려면 이 책의 설명만으로는 많이 부족하다. 그러나 웹 해킹을 처음 보는 사람들에게는 CSRF나 XSS 자체가 생소한 분야이기 때문에 이런 것이 있다는 가이드를 제시하는 수준에서는 충분히 훌륭하다고 본다.

루비나 PHP나 따로 설명하려면 각각 두꺼운 책 한 권씩이 필요하다. 해킹이라는 게 정보 보안학과 4년제 커리큘럼에 있는 것인데 이걸 책 한 권에 다 때려 넣었으니 정밀한 설명이 가능할리는 없다.

그래서 이 책은 입문자에게 정말 적당하다.

입문자가 복잡한 지식을 물고 늘어질 일이 없으니........

일단은 맛을 보고 맛이 좋으면 자신이 먹고 싶은 부분을 찍어서 더 깊게 맛보면 된다.

네트워크나 프로그래밍의 기초가 전혀 없는 사람에게 웹이 무엇인지 이해시키기는 쉽지 않은 문제라 저자의 이런 식의 접근이 이해가 된다.

일단 숲을 먼저 보게 하는 것이다.

아마 생 초보는 칼리 리눅스 설치 후에 업데이트부터 막힐 가능성도 있다고 본다.

책에는 리눅스 사용 시에 에러 대처나 도커 사용 시 에러 대처에 대해서는 나오지 않는다.

인내심을 가지고 구글링을 하자.

원래 리눅스는 구글링 필수이지 않은가........

한 가지 팁을 주자면 칼리 리눅스를 종료하지 말고 그냥 상태를 저장하는 식으로 끄자.

VM이나 버추어 박스의 스냅샷 기능이 정말 유용할 것이다.

리눅스 종료하면 도커 컨테이너를 다시 시작해야 하는데 이 부분이 상당히 귀찮다.

하나하나의 주제는 꽤 가볍게 다루기 때문에 하루에 조금씩 파트를 나눠서 공부하기 괜찮은 구성이다.

실습하다보면 똑같이 안 되서 당황하고 빡침을 느낄 순간이 올 것이다.

인내심을 가지고 구글링하면 다 해결된다.

이건 모든 컴퓨터 관련 책에서 설명하는 부분을 따라하다 보면 겪는 문제고 이런 것을 해결하면서 위기 대처 능력도 생기고 성장하리라 본다.

이런쪽의 지식에 대해 관심이 많은 입문자라면 본격적인 공부를 시작하기 전에 꼭 한번 읽어보고 실습을 따라해보길 강추하는 책이다.

모의 해킹에 대해 꽤 훌륭한 가이드라인을 제공해 줄 것이다.

물론, 이 가이드라인을 본 후의 본격적인 공부는 각자의 몫이고

이 책으로 깊이있는 지식까지는 얻을 수 없다.

이 책은 훌륭한 모의해킹에 대한 지도다.

＜비제이퍼블릭 출판사로부터 책을 받아 솔직하게 작성하였습니다. ＞