1월 ~ 3월 : 비오비 그랑프리 하느라 정신없이 지냈다. 우승 못해서 아쉽다. 근데 또 우승하면 사무실 차려야 하고 실제 사업을 해야 해서 그건 또 다른 문제라고 생각했었다.
암튼 비오비를 수료했다. 그리고 소마를 지원했는데 결국 모종의 사유로 밤새고 2차 코테를 못 봐서 떨어졌다. ㅋㅋ
4월 : S개발자 2기 들어갔다, 솔직히 지원금은 개꿀이었는데 새롭게 배운건 딱히 없었음. 강의 교육은 강사님들이 다 잘 알려주셔서 좋았고, 프로젝트는 기존 비오비나 소마 같은 교육 프로그램 듣고 온 사람들이랑 같은 팀 하는 게 제일 편한 듯. 난 그러지 못해서 지옥을 봤다. 멘토링은 좋았다. 실무자 분들이랑 대화를 많이 나눌 수 있어서 현업에서 있는 일들을 많이 전해 들을 수 있었다. 제일 좋았던 건 다크웹 크롤러 개발이랑 리버싱 수업이었다.
그리고 난 이게 온라인으로 하는 건 줄 알고 신청했는데 온라인은 한번씩 하는 거였고 기본적으로는 매일 출석을 해야 했었어서 학교 다니면서 같이 듣는 건 너무 힘들었다. 휴학생이나 졸업 유예 한 사람이면 추천한다.
5월 : USNIX poster 준비했다., 그 당시 연구실에서 갈 수 있는 예산이 나와서 APT 공격 관련 데이터셋 평가랑 은닉 침투 관련된 연구 진행 하고 있던 거 더 디벨롭했는데 모든 게 다 잘 될 것 만 같았다.
6월 : 핵테온 세종 나가서 상 받았다. 초급이긴 하지만 국내팀은 우리 포함 3갠가 밖에 없었고 나머진 다 인도랑 베트남 쪽 팀이었는데, 비오비에서 만난 사람들로 팀 짜서 조합도 잘 맞았고 팀워크도 좋아서 아주 재미있게 대회를 했다. CTF 뛰는 재미를 느껴서 이때부터 CTF 많이 나가게 되었다.
성호야 군대 잘 다녀와라.. 이제 500일 깨졌다고 좋아하는 성호를 보면 벌써 눈물이 앞을 가린다. 좀 웃겼던 게 수상 팀 중에 한국 팀이 초급 부분은 우리 밖에 없어서 앞에 앉아 계신 귀빈분들이 아주 좋아하셨다. 다수의 높으신 분들이 다 같이 박수를 치면서 '성호야!! 군대 잘 다녀와라!!'를 외쳤다. 좀 웃겼음.
그리고 제주도에 학회 갔다. 학교에서 지원이 나와서 먹고 놀았다. 가서 카트라이더도 하고 맛집도 많이 가고 날씨도 좋아서 정말 좋았다.
바가지 논란이 좀 있었던 시즌이었는데 난 내 돈이 아니라서 그런지 정말 만족스러웠다.
7월 : 두두아이티 폐업, 연구실 망함. 모종의 사유로 연구 수주를 받는 R&D 회사가 돌연 문을 닫았다. 사실 예전부터 안 좋긴 했는데 암튼 연구 과제가 터져서 그냥 돈줄도 끊기고 연구도 끊겨서 USNIX 가는 비행기표 취소해서 환불 수수료 30만 원인가 냈다. 내돈.. 그래서 연구실 망한 김에 새로운 교육인 금융보안 아카데미 들었다.
8월 : 금융보안 아카데미 2기에 들어갔다. 20명 소수로 하는 교육이라 그런지 지원도 좋고 배우는 내용도 좋았다. 솔직히 비오비랑 비교했을 때도 커리큘럼은 전혀 꿀리지 않다고 생각한다. 비오비는 뭔가 잘하는 애들이 워낙 많고 인원수도 200명쯤 되니 솔직히 한 명 한명 이해했는지 확인하는 건 불가능하다. 그래서 비오비는 자기가 잘하는 분야가 있고, 그 분야에서 차력쇼 하는 경우가 많았던 것 같다.
예를 들어서 비오비에서 시스템 해킹 수업을 한다고 하면 일단 기본적인 툴 사용법은 다 알고 있고, 어지간한 보호 기법들에 대한 개념은 다 탑재하고 있다는 가정 하에 3시간 수업을 갈겨버린다. 리버싱 모르는 상태에서 초반에 PPT 놓치면 그냥 답이 없다. 그렇다고 기초부터 하자니 취약점분석 트랙 입장으론 너무 기본적인 거 아닌가요?라고 클레임 들어온다. 반대로 포렌식 수업 때 냅다 판례랑 법 관련 수업 3시간 갈기면 또 포렌식 트랙만 신나고 다른 트랙은 다 무관심하거나 자기 트랙 과제한다. 공통 교육은 사람이 많기 때문에 그냥 넓고 깊은 지식을 때려 박고 알아서 이해하는 수밖에 없었던 것 같다. 트랙 교육은 정말 훌륭하다. 원래 자기가 좋아하는 분야 하는 거기도 하고.. 그냥 원래 잘하던 거 더 잘하게 해주는 느낌이다.
근데 금융보안 아카데미는 사람이 적다 보니 처음 하는 사람들에게는 공부를 입문하기 위한 기초적인 툴 사용법과 쉬운 문제를 통한 예제 설명, 원래 잘하는 사람들에게는 어려운 문제를 열어줘서 스스로 풀어보고 모르는 부분을 질문하는 형식으로 20명 모두가 만족하는 수업을 한다. 그리고 교재가 정말 고퀄리티였다. 책자로 나왔는데 정말 도움이 많이 된다. 확실히 이 교육을 듣고 나서 CTF 실력이 수직 상승했다. 올해 한 일 중에 제일 잘한 짓이라 생각함. 그리고 팀을 짜고 내부 CTF랑 외부 대회들을 나가게 하는데 난 원래 비오비에서 친했던 사람들이랑 팀을 해서 정말 재밌게 했다. 교육 성향은 포렌식 + 취분 반반씩 섞은 느낌이다. 그리고 확실히 금융권이라 그런지 식대도 한 끼에 12,000원이나 주고 교육 중간에 간식이랑 밥이랑 술도 정말 많이 사주셨다. 이때 하겐다즈 처음 먹어봤는데 교육생 전체한테 다 돌리는거 보고 이런 세상도 존재하는구나 했다. 난 아직 취준할 시즌은 아니었는데 이 때 교육 듣던 4학년 취준생들은 거의 다 좋은 곳 취직했다고 한다. 부럽다.
그리고 한국의 워커힐 호텔에서 열린 블록체인 콘퍼런스에 갔다. 갔더니 다 외국인이고 한국어 쓰는 사람이 없는 완전 해외 컨퍼런스 느낌이었다. 워커힐 호텔은 정말 시설이 좋았다. 가서 전부 외국어로 말하는데 번역기를 줘서 귀에 대면 번역을 해줬다. 가서 스티커랑 티셔츠만 잔뜩 받고 왔음. 근데 전날에 밤을 새우고 가서 세션 중에 좀 졸았고 ㄹㅇ 시차 적응 못하는 콘셉트까지 진짜 해외 갔다 온 느낌이었다.
원래는 표 값이 엄청 비싼데 TeamH4C의 팀장님이 표가 몇 장 남는다고 관심 있으면 연락 달라고 해서 운 좋게 갔다 왔다. Web3의 시대가 이제 얼마 남지 않았다는 것을 느꼈다.
9월 ~ 12월 : 2학기 시작함. 두두 아이티가 망했기 때문에 이제 그냥 연구실에서 직접 수주를 받기로 결정. 상진 개발이라는 그레이팅 만드는 회사에서 외주 개발을 시작했다. 단가는 나쁘지 않았다. 작년 외주 개발이랑 이것도 비슷했다. 아직 정산을 안 해서 정확하진 않은데 계산 해보면 작년 보다 조금 더 주는 거 같다. 보고 때문에 1주일에 1번씩 안산에 있는 공장에 가야 하는 것 빼고는 좋았다.
1998년에 만들어진 프로그램을 다시 개발하는 일인데, 솔직히 알고리즘도 그렇게 어렵지 않고 그냥 구현만 만들어서 납품하면 되는 그런 꿀 외주라고 생각했다.
안산 공장은 날 것의 현장을 그대로 느낄 수 있었다. 갔는데 일단 컴퓨터가 XP였다. 프로그램은 정말 오래 걸렸고 느려서 기능 확보하는 것 자체가 힘들었다. 그래서 내가 생각 해 낸게 그래도 배운게 포렌식인데, 이 XP를 그대로 이미징 떠서 VM에서 고성능으로 살리면 되지 않을까 하는 아이디어를 냈다.
왜냐하면 일주일에 한번 가는데 가서 프로그램의 기능을 모두 확보 하는 것은 불가능하고, 부분을 나눠서 스크린숏을 찍고 직접 메모해 가는 방식인데 그런 식으로 하면 정말 오래 걸릴 것 같았기 때문이었다. 그리고 가장 어려운 부분은 이 프로그램이 실제로 실무에 쓰이고 있는 프로그램이고, 혹시나 내가 잘 못 건드려서 못쓰게 되면 업무가 중지되기 때문에 조심스러울 수밖에 없었다. 그래서 이미징을 선택했고 정말 쉽지 않았다. 한 3일 정도 시간을 박으니 겨우 vm 부팅에 성공했고, 다시 개발 속도를 낼 수 있었다. 만든 과정은 e01 -> raw -> vmdk 순으로 변환해서 vm의 논리 디스크에 마운트 시킬 수 있었다.
그리고 메모리 포렌식 관련해서 따로 비오비 사람들이랑 연구하던 게 있는데, 거기서도 우수 논문상을 받아서 발표하러 갔다.
그리고 정말 운이 좋게도 이번에 디포챌 2024에서 학생부 특별상을 받았다. 우수팀 write-up을 만들어 달라고 해서 줬는데 이렇게 책자로 만들어질 줄은 몰랐다. 그냥 냅다 책자에 탕수육 박제한 사람이 되었다.
그리고 그 상태로 발표까지 했다. 학생 때 디포챌을 수상 할 수 있어서 정말 영광이라고 생각한다. 많은 학생부 팀들이 있는데, 상위 팀들은 정말 점수 차이가 얼마 나지 않았다. 누가 받아도 이상하지 않은 상태에서 운이 좋게도 우리 팀이 학생부에서 1등을 했다. 약 1달간 20문제를 잡고 보고서를 열심히 썼다. 팀이 4명이고 문제가 20개니까 인당 5개 이상은 풀어줘야 하는 대회였다. 솔직히 내가 5문제를 못 풀면 어쩌지 라는 생각이 강했는데, 이 대회는 인당 한 문제를 푸는 것보다 팀끼리 상황을 공유하고 내가 모르는 부분은 다른 팀원이 해결해 주는 그런 팀워크가 중요했다. 결론적으로 난 7문제를 풀었지만 그 안에서 팀원들끼리 공유하고 내가 못 푸는 부분은 다른 팀원에게 부탁하고, 다른 팀원이 못 봤던 부분을 내가 찾아 주면서 대회를 진행했다. 내가 100% 확신하고 풀었다 생각한 문제도 팀원들에게 공유해 보니 틀린 부분이 있었던 기억이 난다.
대회는 결과를 떠나서 실력 향상에 정말 도움이 되는 활동이다.
그리고 금융보안 아카데미 사람들과 피에스타를 나갔다. 나는 침해사고분석과 미스크, 웹을 메인으로 풀었고, 팀원들이 잘해준 것에 비해 나는 어려운 문제를 많이 못 풀어줘서 미안했다. 특히 웹 마지막 문제를 꼭 풀어야겠다고 생각하고 시간을 오래 투자했는데 너무 어려워서 라업을 들었는데도 뭔 소린지 이해가 안 갔다. 스스로의 부족함을 다시 알게 되는 대회였다. 그래도 전광판에 나온 걸로 만족해야겠다.
그리고 일렉콘이라고 하는 실시간 침해사고대응 분석 대회에 나갔다. 솔직히 여기서 상 받는 건 절대 불가능하다고 생각했던 게 우린 예선에서 거의 꼴찌로 본선 진출을 했기도 했고, 그 당시 상위 팀들이 대부분 CTF를 잘 푸는 그런 학생들이었기 때문이다. 그런데 이 대회는 일반적인 CTF가 아니라 침해사고가 일어난 가상 환경을 VM v스피어로 제공하고, 그 안에서 취약점을 조치하면 점수를 주는 그런 형식이었다. 예를 들어 웹 쉘이 올라가 있는 경로를 찾고 해당 웹 쉘을 삭제하면 200점을 주고, 웹 쉘이 업로드될 수 있는 취약한 php 파일을 찾아서 제거를 하면 또 100점을 주는 그런 형태이다. 그래서 결론적으로는 전체 2등, 학생부 2등으로 마무리할 수 있었다. 마지막 라운드에서 조금만 더 일찍 패치를 했으면 1등도 가능했을 거 같은데 조금 아쉽지만 2등도 충분히 잘한 것 같다.
그리고 금융보안원 아카데미에서 프로젝트로 진행하던 레드팀 시나리오 중에서 AD 취약점 시연하는 부분이 있었는데, 그 부분을 동아리 연합회에서 발표해 달라고 해서 나는 그냥 학생들끼리 발표하는 건 줄 알고 최대한 웃기게 장난 식으로 PPT를 만들어 갔다.
근데 갔더니 국정원 팀장님 + 충북 지역 대학의 정보보호학과 관련 교수님 + 약 3개의 대학교에서 모인 해킹 동아리 학생들이 있었다. 한 60명 정도 됐던 거 같다. 분명 그냥 학생들 끼리 정보공유하는 세미나 같은 거라고 들었는데.. 하지만 생각보다 반응이 나쁘지 않았다.
그리고 언제 찍었는지 기억은 안 나는데 신기한 휴지곽도 발견했다. 그리고 이때 BISC라고 하는 비오비 콘퍼런스에서 포렌식 문제도 출제하고 세션 발표도 했다. 오랜만에 비오비 사람들 다시 만나니 좋았다.
또 연구했던 논문이 정보보호학회 동계 학술 대회에서도 우수 논문상을 받아서 곤지암 리조트를 갔는데, 눈이 정말 많이 왔다. 추웠다. 가서 눈사람이나 실컷 만들고 왔다.
KDFS 2024도 우승했다. 솔직히 이 조합이면 그냥 우승할 거 같았다. TeamH4C에 소속된 디지털포렌식 팀인 D4C에서 나갔는데 다들 대회 경험도 많고, 실력이 좋아서 별 걱정은 없었다. 근데 상이 경찰청장상인데
비상계엄 이슈로 경찰청장이 구속되는 바람에 직무 대리인의 결제로 시상을 했다.
그리고 TS 취약점을 찾아라 대회에서도 장려상을 받았다. 확실히 웹 해킹 공부를 더 열심히 해야겠다고 생각이 들었다.
올해는 작년 비오비에 이어서 계속 달렸던 해였다. 솔직히 비오비 때 열심히 했다고 생각해서 쉬고 싶은 생각이 많았는데.. 4월쯤에 큰 이별을 겪고 나서 그냥 열심히 살아야겠다는 생각 밖에 들지 않았던 것 같다. 힘든 일도 많이 있었지만 결론적으로 올해는 정말 많이 성장할 수 있는 시간이었다.
내년 목표는 사실 아직 정해진 것이 없다. 올해 목표도 그랬지만 딱히 목표를 정한다고 그대로 이뤄지지는 않는 것 같다.
만약 한다고 하면 자격증이랑 어학을 준비할 것 같다.
'etc > 잡담' 카테고리의 다른 글
| cert로 군대가면 (정보보호병) (0) | 2024.05.07 |
|---|