32. 기출·예상문제: 애플리케이션보안

이 편의 문제는 실제 기출을 그대로 복제한 것이 아닙니다. 한국방송통신전파진흥원 출제기준의 3과목(애플리케이션보안) 세부항목을 기준으로 상황·숫자·보기 표현을 새로 구성한 재구성 문항입니다. 문장을 통째로 암기해도 실제 시험에는 그대로 나오지 않으므로, 반드시 개념을 이해한 상태로 풀어야 합니다.

문항 구성표

영역	관련 편	문항 번호	문항 수
웹 서버 운영과 OWASP 주요 공격	16	1–5	5
시큐어코딩과 취약점 진단	17	6–9	4
FTP·메일·DNS 서비스 보안	18	10–13	4
데이터베이스·전자상거래 보안	19	14–17	4
디지털 포렌식과 최신 애플리케이션 보안 동향	20	18–22	5
합계	–	–	22

먼저 스스로 풀고 채점한 뒤 해설을 읽습니다. 해설에는 정답 근거뿐 아니라 각 오답 보기가 왜 틀렸는지도 함께 적어 두었으므로, 오답 보기 하나하나도 다른 문항의 정답이 될 수 있는 개념 조각으로 취급해 읽으십시오.

웹 서버 운영과 OWASP 주요 공격 (1–5)

출제 포인트: 로그인 폼 우회 문장을 보고 어떤 공격 기법인지 즉시 이름을 붙일 수 있는지를 확인합니다. admin'-- 같은 패턴은 SQL 질의문의 나머지를 주석 처리해 비밀번호 검사 조건 자체를 무력화하는 SQL 인젝션의 전형적인 형태입니다.

문제 14지선다

로그인 폼의 아이디 입력란에 다음 문자열을 넣었더니 비밀번호 없이 관리자 계정으로 로그인되었다. 입력값: admin apostrophe dash dash (작은따옴표 뒤에 하이픈 두 개). 이 공격 기법으로 가장 적절한 것은?

SQL 인젝션크로스사이트 스크립팅(XSS)크로스사이트 요청 위조(CSRF)버퍼 오버플로우

출제 포인트: XSS(크로스사이트 스크립팅) 세 유형인 저장형·반사형·DOM 기반형을 시나리오만 보고 구분하는 문제입니다. 스크립트가 서버에 저장되어 다른 방문자에게 반복 노출되면 저장형입니다.

문제 24지선다

한 커뮤니티 게시판의 댓글창에 스크립트 태그가 포함된 문자열을 남겼더니, 이후 그 게시글을 열람하는 모든 방문자의 브라우저에서 해당 스크립트가 반복해서 실행되었다. 이 공격 유형으로 가장 적절한 것은?

저장형(Stored) XSS반사형(Reflected) XSSDOM 기반(DOM-based) XSSSQL 인젝션

출제 포인트: CSRF(크로스사이트 요청 위조)와 XSS를 같은 브라우저 공격으로 뭉뚱그려 헷갈리는 실수를 잡아내는 문제입니다. 두 공격은 신뢰의 방향이 반대입니다.

문제 34지선다

CSRF와 XSS의 차이에 대한 설명으로 옳지 않은 것은?

CSRF는 사이트가 사용자의 요청을 신뢰한다는 점을 악용하고, XSS는 사용자가 사이트가 보여주는 콘텐츠를 신뢰한다는 점을 악용한다CSRF 방어에는 요청마다 발급하는 예측 불가능한 토큰(CSRF 토큰) 검증이 널리 쓰인다XSS는 공격자가 스크립트를 직접 실행하지만, CSRF는 피해자의 브라우저가 대신 요청을 보내게 만든다CSRF 토큰을 도입하면 별도 조치 없이도 저장형·반사형 XSS 공격까지 함께 방어된다

출제 포인트: OWASP Top 10 항목 중 접근통제 실패(Broken Access Control)를 인젝션류 공격과 구분하는 문제입니다. 판단 기준은 “권한 검사를 건너뛰었는가”입니다.

문제 44지선다

일반 회원 계정으로 로그인한 사용자가 브라우저 주소창의 사용자 번호 매개변수만 다른 회원의 번호로 바꾸어 요청했더니, 서버가 권한 확인 없이 그 회원의 개인정보를 그대로 응답했다. OWASP Top 10 기준으로 이 취약점에 가장 가까운 항목은?

인젝션(Injection)취약한 접근통제(Broken Access Control)암호화 실패(Cryptographic Failures)보안 로깅 및 모니터링 실패

출제 포인트: 세션 관리 취약점 중 세션 하이재킹과 세션 고정(Fixation) 공격을 구분하고, 각각에 대한 표준 대응책을 함께 확인하는 문제입니다.

문제 54지선다

웹 애플리케이션의 세션 관리에 대한 설명으로 옳지 않은 것은?

로그인에 성공한 직후에는 로그인 이전에 쓰이던 세션 아이디를 새로운 값으로 재발급해야 한다세션 쿠키에 HttpOnly 속성을 지정하면 자바스크립트를 통한 쿠키 탈취 시도를 어렵게 만들 수 있다세션 아이디는 URL 매개변수에 실어 전달하는 방식이 쿠키 방식보다 노출 위험이 낮아 권장된다세션 유휴 시간과 절대 만료 시간을 모두 설정해, 오래 방치되거나 지나치게 오래 유지되는 세션을 자동으로 끊어야 한다

시큐어코딩과 취약점 진단 (6–9)

출제 포인트: 입력값 검증에서 화이트리스트(허용 목록)와 블랙리스트(차단 목록)의 근본적인 차이를 묻습니다. 판단 기준은 “정의되지 않은 입력이 통과되는가 차단되는가”입니다.

문제 64지선다

입력값 검증 방식인 화이트리스트와 블랙리스트에 대한 설명으로 옳지 않은 것은?

화이트리스트는 허용할 형식을 미리 정의하고 그 외의 모든 입력을 거부하는 방식이다블랙리스트는 알려진 위험 패턴만 등록해 차단하므로 대소문자 변형이나 인코딩 우회에 취약할 수 있다시큐어코딩 가이드는 일반적으로 블랙리스트 방식을 화이트리스트보다 우선 적용하도록 권고한다화이트리스트는 정상 입력의 범위를 정확히 정의해야 하므로 설계 시 더 많은 사전 분석이 필요하다

출제 포인트: SSRF(서버 측 요청 위조)의 정의를 다른 인젝션류 공격과 구분하는 문제입니다. 핵심은 “공격자가 클라이언트가 아니라 서버 자신에게 임의의 요청을 보내게 만든다”는 점입니다.

문제 74지선다

한 웹 서비스가 사용자가 입력한 URL의 이미지를 서버가 대신 내려받아 보여주는 기능을 제공한다. 공격자가 이 URL 입력란에 내부망 전용 관리 콘솔의 주소를 넣어, 외부에서는 접근할 수 없는 내부 시스템의 응답 내용을 알아냈다. 이 공격 기법은 무엇인가?

서버 측 요청 위조(SSRF)크로스사이트 스크립팅(XSS)크로스사이트 요청 위조(CSRF)서버사이드 템플릿 인젝션(SSTI)

출제 포인트: SSTI(서버사이드 템플릿 인젝션)가 왜 위험한지 판단하는 문제입니다. 핵심은 사용자 입력이 템플릿 문법의 일부로 그대로 해석되어 서버 측 코드 실행까지 이어질 수 있다는 점입니다.

문제 84지선다

서버사이드 템플릿 인젝션(SSTI)에 대한 설명으로 옳지 않은 것은?

사용자 입력이 화면 출력 문자열이 아니라 템플릿 엔진의 표현식 문법 일부로 해석될 때 발생할 수 있다공격이 성공하면 단순 정보 노출을 넘어 서버 측에서 임의 명령이 실행되는 수준까지 이어질 수 있다사용자 입력값을 그대로 템플릿 문자열에 연결해 렌더링하는 코드 패턴은 SSTI 위험을 높인다SSTI는 클라이언트 브라우저에서만 실행되므로 서버의 파일 시스템이나 프로세스에는 영향을 줄 수 없다

출제 포인트: 취약점 진단 방법인 정적분석(SAST)과 동적분석(DAST)의 차이를 진단 시점과 대상으로 구분하는 문제입니다.

문제 94지선다

정적분석(SAST)과 동적분석(DAST)에 대한 설명으로 옳지 않은 것은?

정적분석은 프로그램을 실행하지 않고 소스 코드나 바이너리를 분석해 취약한 코드 패턴을 찾아낸다동적분석은 애플리케이션을 실제로 구동한 상태에서 다양한 입력을 넣어 실행 중 발생하는 취약점을 찾아낸다정적분석은 소스 코드 확보가 어려운 외부 서비스 점검에도 동적분석과 동일한 조건으로 적용할 수 있다정적분석과 동적분석은 서로 놓치는 유형이 달라 함께 적용하면 더 넓은 범위의 결함을 찾아낼 수 있다

FTP·메일·DNS 서비스 보안 (10–13)

출제 포인트: FTP의 평문 전송 문제와 그 대안인 SFTP·FTPS의 차이를 구분하는 문제입니다. 이름이 비슷해 혼동하기 쉬우므로 각 프로토콜이 어떤 하부 프로토콜에 기반하는지가 핵심입니다.

문제 104지선다

FTP의 보안 대안 프로토콜에 대한 설명으로 옳지 않은 것은?

전통적인 FTP는 인증 정보와 파일 내용을 암호화 없이 평문으로 전송해 스니핑에 취약하다SFTP는 SSH(Secure Shell) 프로토콜 위에서 파일 전송 기능을 제공해 하나의 암호화된 연결로 인증과 전송을 처리한다FTPS는 FTP 명령 체계에 TLS/SSL 암호화 계층을 추가로 얹은 방식이다SFTP는 File Transfer Protocol의 약자를 그대로 물려받은 것으로, FTP와 같은 포트와 통신 절차를 사용한다

출제 포인트: 메일 보안의 세 축인 SPF·DKIM·DMARC의 역할을 구분하는 문제입니다. 세 기술은 서로 보완 관계이며 각각 확인하는 대상이 다릅니다.

문제 114지선다

이메일 발신자 위조를 막기 위한 세 가지 기술에 대한 설명으로 옳지 않은 것은?

SPF(Sender Policy Framework)는 특정 도메인을 대신해 메일을 보낼 수 있는 발신 서버 목록을 DNS에 등록해 검증한다DKIM(DomainKeys Identified Mail)은 메일 본문과 주요 헤더에 전자서명을 붙여 전송 중 위변조 여부를 검증한다DMARC(Domain-based Message Authentication, Reporting and Conformance)는 SPF·DKIM 검증에 실패한 메일을 어떻게 처리할지 정책을 정의하고 결과를 보고받는다SPF와 DKIM 중 하나라도 통과하면 DMARC 정책과 관계없이 메일은 항상 수신자의 받은편지함으로 전달된다

출제 포인트: DNS 캐시 포이즈닝(DNS Cache Poisoning)의 동작 원리를 묻습니다. 핵심은 리졸버(resolver)의 캐시에 조작된 응답을 먼저 심어 넣는다는 점입니다.

문제 124지선다

DNS 캐시 포이즈닝 공격의 원리로 가장 적절한 것은?

공격자가 대상 서버의 계정 정보를 무차별 대입으로 알아내 관리자 권한을 탈취한다공격자가 정당한 DNS 응답보다 먼저 위조된 응답을 리졸버(resolver)에 도달시켜 잘못된 IP 주소를 캐시에 저장시킨다공격자가 대량의 요청을 보내 DNS 서버의 처리 용량을 소진시켜 서비스를 마비시킨다공격자가 이미 로그인된 세션의 쿠키를 탈취해 사용자로 위장한다

출제 포인트: DNSSEC이 해결하는 문제와 해결하지 못하는 문제를 구분합니다. DNSSEC은 응답의 무결성·출처를 보장할 뿐, 통신 내용의 기밀성(암호화)은 보장하지 않습니다.

문제 134지선다

DNSSEC(DNS Security Extensions)에 대한 설명으로 옳지 않은 것은?

DNSSEC은 DNS 응답에 전자서명을 추가해 응답이 위조되지 않았음을 검증할 수 있게 한다DNSSEC은 신뢰의 사슬(Chain of Trust)을 통해 상위 도메인의 서명이 하위 도메인의 서명을 보증하는 구조를 갖는다DNSSEC을 적용하면 DNS 캐시 포이즈닝처럼 위조된 응답을 주입하는 공격을 탐지하고 거부할 수 있다DNSSEC은 DNS 조회 내용 자체를 암호화해 질의와 응답이 제3자에게 노출되지 않도록 기밀성을 보장한다

데이터베이스·전자상거래 보안 (14–17)

출제 포인트: 데이터베이스 암호화 기술인 TDE(투명한 데이터 암호화)가 보호하는 대상과 보호하지 못하는 대상을 구분하는 문제입니다.

문제 144지선다

TDE(Transparent Data Encryption, 투명한 데이터 암호화)에 대한 설명으로 옳지 않은 것은?

TDE는 데이터베이스 파일이 디스크에 저장될 때 자동으로 암호화하는 저장 데이터 암호화 방식이다TDE는 애플리케이션 코드나 질의문의 수정 없이도 적용할 수 있어 도입 부담이 상대적으로 적다TDE가 적용된 데이터베이스는 정상 인증을 거쳐 접속한 세션에서 조회한 값도 암호화된 상태로 반환된다디스크나 백업 파일이 통째로 유출되더라도 TDE로 암호화되어 있으면 복호화 키 없이는 내용을 볼 수 없다

출제 포인트: DB 접근통제와 감사(Audit) 기능의 목적을 구분합니다. 접근통제는 사전 예방, 감사는 사후 추적이라는 시점의 차이가 핵심입니다.

문제 154지선다

데이터베이스 접근통제와 감사(Audit)에 대한 설명으로 옳지 않은 것은?

DB 방화벽은 애플리케이션이 아닌 비정상 경로로 데이터베이스에 직접 접속하는 시도를 탐지·차단하는 데 활용된다감사 로그는 누가 언제 어떤 데이터에 접근해 어떤 작업을 수행했는지 사후에 추적할 수 있게 기록을 남긴다접근통제를 충분히 강하게 설정하면 침해 발생 가능성이 사라지므로 별도의 감사 로그 수집은 생략해도 무방하다최소 권한 원칙에 따라 업무에 필요한 테이블·컬럼에만 접근 권한을 부여하는 것이 DB 접근통제의 기본 원칙이다

출제 포인트: SSO(싱글사인온)가 무엇을 대체하고 무엇을 대체하지 않는지 확인하는 문제입니다. SSO는 로그인 절차를 통합할 뿐, 개별 서비스의 인가(권한 부여) 절차 자체를 없애지 않습니다.

문제 164지선다

SSO(Single Sign-On, 싱글사인온)에 대한 설명으로 옳지 않은 것은?

SSO는 한 번의 인증으로 여러 연계된 서비스에 다시 로그인하지 않고 접근할 수 있게 하는 기술이다SSO 도입 시 인증을 담당하는 시스템이 침해되면 그 계정과 연결된 여러 서비스가 한꺼번에 위험에 노출될 수 있다SSO 환경에서도 각 서비스는 사용자가 로그인했다는 사실과 별개로 그 사용자에게 어떤 기능을 허용할지 결정하는 인가 절차를 각자 수행한다SSO를 적용하면 사용자가 로그인한 이후에는 어떤 서비스에서도 별도의 권한 검사 없이 모든 기능에 접근할 수 있다

출제 포인트: DRM(디지털저작권관리)의 목적을 확인합니다. DRM은 콘텐츠 자체의 무단 복제·배포를 막는 기술이지, 사용자 인증이나 통신 구간 암호화를 대체하지 않습니다.

문제 174지선다

DRM은 네트워크 구간에서 오가는 모든 트래픽을 암호화해 도청을 방지하는 기술이다DRM은 전자책·동영상 같은 디지털 콘텐츠에 접근·복제·배포 권한을 암호화와 정책으로 제어해 저작권을 보호하는 기술이다DRM은 사용자의 로그인 여부를 확인하는 인증 기술로, SSO와 동일한 역할을 수행한다DRM은 데이터베이스에 저장된 개인정보를 가명처리해 식별 가능성을 낮추는 기술이다

디지털 포렌식과 최신 애플리케이션 보안 동향 (18–22)

출제 포인트: 디지털 포렌식의 표준 절차 순서를 묻습니다. 증거는 수집 전에 먼저 그 상태를 보존해야 하며, 분석 후에는 결과를 보고서로 남겨야 한다는 흐름이 핵심입니다.

문제 184지선다

디지털 포렌식의 일반적인 절차를 순서대로 바르게 나열한 것은?

분석 → 수집 → 보존 → 보고수집 → 보존 → 분석 → 보고보고 → 분석 → 수집 → 보존보존 → 보고 → 수집 → 분석

출제 포인트: 포렌식 증거의 무결성을 왜 해시값으로 증명하는지 묻습니다. 핵심은 원본과 사본이 비트 단위로 동일함을 수학적으로 증명해야 법적 증거 능력을 인정받는다는 점입니다.

문제 194지선다

디지털 포렌식에서 증거로 확보한 저장매체의 사본을 만들 때, 원본과 사본 각각의 해시값(SHA-256 등)을 계산해 기록하는 이유로 가장 적절한 것은?

해시값을 계산해 두면 저장매체의 용량을 압축해 보관 공간을 절약할 수 있기 때문이다원본과 사본의 해시값이 일치함을 보여 분석에 사용한 사본이 원본과 비트 단위로 동일하며 훼손되지 않았음을 증명하기 위해서다해시값은 저장매체에 담긴 파일의 소유자가 누구인지 확인하는 인증 수단으로 쓰이기 때문이다해시값을 계산하면 삭제된 파일을 자동으로 복구할 수 있는 복구 키가 생성되기 때문이다

출제 포인트: 컨테이너(도커·쿠버네티스) 환경에서 새롭게 부각되는 보안 위협의 특징을 확인합니다. 기존 서버 보안과 달리 이미지 자체의 취약점과 격리 경계가 핵심 이슈입니다.

문제 204지선다

컨테이너(도커·쿠버네티스) 환경의 보안에 대한 설명으로 옳지 않은 것은?

컨테이너 이미지에 이미 알려진 취약점이 있는 오래된 라이브러리가 포함되어 있으면 배포된 모든 컨테이너가 같은 취약점을 그대로 가진다컨테이너는 호스트 운영체제의 커널을 공유하므로, 격리 설정이 미흡하면 한 컨테이너의 취약점이 다른 컨테이너나 호스트로 확산될 수 있다쿠버네티스 환경에서는 각 구성요소 간 통신에 최소 권한을 부여하는 접근통제 정책을 적용해 특정 구성요소 침해 시 피해 범위를 제한할 수 있다컨테이너는 하드웨어 수준에서 완전히 독립된 별도의 운영체제를 실행하므로 가상머신보다도 강력한 격리 수준을 제공한다

출제 포인트: API 보안에서 자주 등장하는 토큰 기반 인증(OAuth 등)의 취약점을 확인합니다. 핵심은 토큰 자체가 탈취되면 비밀번호 없이도 자원에 접근할 수 있다는 점입니다.

문제 214지선다

API 보안에 대한 설명으로 옳지 않은 것은?

접근 토큰(Access Token)이 탈취되면 공격자가 사용자의 비밀번호를 몰라도 그 토큰의 만료 시점까지 자원에 접근할 수 있다토큰의 유효 기간을 짧게 설정하고 갱신 토큰(Refresh Token)을 별도로 관리하면 탈취된 토큰의 악용 가능 시간을 줄일 수 있다API 요청 빈도에 제한을 두지 않는 것은 무차별 대입이나 자원 고갈 공격에 노출될 위험을 키운다API 키를 클라이언트 측 자바스크립트 코드에 그대로 하드코딩해도 HTTPS로 통신하면 키 노출 위험이 완전히 사라진다

출제 포인트: 최신 위협인 AI·LLM(거대언어모델) 서비스 관련 보안 이슈를 확인합니다. 프롬프트 인젝션은 시스템이 신뢰하는 지시문 채널에 사용자 입력이 섞여 들어가는 문제입니다.

문제 224지선다

AI 챗봇 서비스를 운영하는 기업이, 사용자가 대화창에 특정 문구를 입력해 서비스 개발자가 미리 설정한 내부 지침(시스템 프롬프트)을 무시하게 만들고 원래 공개하지 않기로 한 내부 정보를 답변으로 얻어냈다는 사고를 접수했다. 이 공격 유형으로 가장 적절한 것은?

프롬프트 인젝션(Prompt Injection)SQL 인젝션버퍼 오버플로우DNS 캐시 포이즈닝