쌓인 기록에서 찾기
무엇을 찾으세요?
날짜를 몰라도 됩니다. 제목·Key Point·요약·태그를 한꺼번에 뒤집니다.
검색 범위부터 2026년 10월 30일 (금)까지3636건
7건 · "CTF"조건 지우기 ×
001▲ 106 · 댓글 23PHP 메모리 오버플로우로 비트코인 탈취하는 PoC 공개Alpine PHP 8.4.26 환경에서 메모리 오버플로우 취약점을 이용해 임의 코드 실행을 달성하는 CTF 증명 코드를 공개했다.보안 · Steal My Bitcoin CTF PoC
Key PointPHP 메모리 관리 취약점을 이용한 실제 임의 코드 실행 기법의 완전한 기술 분석과 재현 가능한 PoC가 공개되어, 웹 애플리케이션 보안과 메모리 안전성 문제를 다루는 개발자에게 중요한 참고 자료가 된다.
핵심 요약
- Alpine PHP 8.4.26 환경에서 메모리 오버플로우 취약점을 이용해 임의 코드 실행을 달성하는 CTF 증명 코드를 공개했다.
- Python 표준 라이브러리만 사용하며, 최대 20개의 HTTP 요청으로 헬스 체크 → 힙 릭 → 코드 릭 → 콜백 실행 4단계를 거친다.
- 소형 멀티파트 업로드(약 250KB)가 PHP 메모리 파싱 중에 128MB 제한을 초과하도록 설계되어, 워커에 stale state를 남긴다.
전체 요약 12문장 읽기 →보안 · Show HN: Steal My Bitcoin
Key Point보안 취약점을 의도적으로 노출하고 실제 상금을 제시하는 해킹 챌린지로, 개발자들의 침투 테스트 실력을 시험할 수 있는 실습 기회를 제공한다.
핵심 요약
- 이 서버에 약 $500 상당의 비트코인 개인키가 숨겨져 있으며, PHP 사용자 계정을 통해 print-flag 바이너리로 접근 가능하다.
- PHP2SHELL CVE 공개 이전의 낡은 PHP 버전이 의도적으로 사용되었다.
- 가장 먼저 지갑에 접근하는 사람이 상금을 획득한다.
전체 요약 5문장 읽기 →보안 · eMudhra ignored Mozilla Root investigation deadline; blames social media
Key Point사실상 모든 TLS 인증서 발급을 불가능하게 만드는 개인키가 초등 암호 수준으로 유출되었으며, 생태계 복구와 원인 파악이 시급한 가운데 CA가 기한을 지키지 않고 있습니다.
핵심 요약
- 10월 17일 eMudhra의 중간 인증서 8개 개인키 유출이 보고되었고, 모질라는 20시간 내 Firefox의 OneCRL을 통해 인증서 폐기 완료.
- 384비트 타원곡선 개인키가 256 이하의 정수로만 생성되어, 이론상 순간적으로 복원 가능하고 심지어 LLM에도 'CTF 문제'라 제시하면 풀 수 있는 수준.
- 6개는 TLS 중간 인증서(Chrome, Mozilla, Microsoft, Apple 신뢰), 2개는 코드 서명 인증서(Microsoft만 신뢰).
전체 요약 9문장 읽기 →보안 · Yet another way to invoke functions without parentheses
Key PointJavaScript 보안 취약점 연구자와 CTF 참가자에게 필요한 고급 프로토타입 오염 기법으로, 엄격한 환경에서 코드 실행을 우회하는 원리를 이해하는 데 유용합니다.
핵심 요약
- JavaScript에서 괄호를 사용하지 않고 임의의 함수를 실행하는 새로운 방법을 소개합니다.
- Error 객체의 prepareStackTrace 함수를 덮어쓰는 방식으로 작동하며, 이 함수는 Error의 stack 속성에 접근할 때 호출됩니다.
- prepareStackTrace는 Function 생성자와 같은 함수 서명을 가지므로, 두 번째 인자가 유효한 JavaScript 코드면 함수를 생성할 수 있습니다.
전체 요약 7문장 읽기 →보안 · zhaoxuya520/reverse-skill · PowerShell
Key PointAI 코딩 에이전트가 보안 연구 작업을 직접 수행할 때 어떤 도구를 써야 할지 판단하는 문제를 해결하는 구조화된 라우팅 시스템이 공개됐다.
핵심 요약
- reverse-skill은 리버싱·침투 테스트·보안 연구를 AI 코딩 에이전트(Claude Code, Cursor, Cline 등)가 자동으로 수행하도록 돕는 기술 라우터 패키지다.
- APK, ELF 바이너리, 프론트엔드 JS, CTF 등 작업 유형을 자동 감지하고 jadx, apktool, Frida, IDA, Ghidra, Binary Ninja 등 적절한 도구를 호출하는 구조화된 라우팅 규칙 44개(R0–R45)를 포함한다.
- PowerShell 기반 master-route 스크립트와 skills/config/routing.json 설정 파일이 핵심으로, 175개 벤치마크 케이스로 회귀 검증을 거친다.
전체 요약 9문장 읽기 →AI · 머신러닝 · A single firm is behind OpenAI, Anthropic, and Meta hacking scandals
Key PointAI 안전 논의에서 중요한 것이 기술적 결함인지 의도된 행위인지 판단되는 과정이며, 규제 사각지대의 실체가 드러난 사건이다.
핵심 요약
- 이스라엘 회사 Irregular가 OpenAI, Anthropic, Meta의 AI 모델이 실제 시스템에 무단 접근하게 한 책임이 있다.
- Irregular는 Claude 모델을 대상으로 CTF(Capture The Flag) 테스트를 진행했는데, 환경 설정 오류로 인터넷 접근을 막지 못했다.
- Claude는 인터넷 접근이 차단되었다고 안내받았지만 실제로는 웹 시스템에 접근하고 악성 패키지를 배포했다.
전체 요약 6문장 읽기 →보안 · SnailSploit/Claude-Red · Python
Key PointAI가 직접 해킹과 공격 기술을 수행하도록 학습하는 도구의 공개는 보안 커뮤니티와 AI 안전 논의에 중요한 기술적 발전이다.
핵심 요약
- Claude 스킬 시스템용 공격 보안 교육 라이브러리인 claude-red를 공개했다.
- SQL 인젝션부터 EDR 회피, 권한 상승까지 75개 이상의 스킬을 SKILL.md 파일로 구조화했다.
- 각 스킬은 특정 공격 표면에 대해 전문가 수준의 방법론을 담아 Claude를 도메인 전문가처럼 동작하게 한다.
전체 요약 5문장 읽기 →