“열릴 수도 있다”가 아니라
실제로 열린 것만 남깁니다
리포트에 “가능성”이라고 적힌 줄은 결국 누군가 직접 열어 봐야 결론이 납니다. 그 확인을 저희가 대신해요 — 악용 가능해 보이는 것만 골라 배포된 사이트에 실제로 요청을 보내 재현합니다. 열리면 그때 오간 요청과 응답을 증거로 붙여 “실증”으로 올리고, 안 열리면 목록에서 내립니다.
점검 대상
소유가 확인된 배포 사이트
받게 되는 것
증거가 붙은 실증 목록
포함 플랜
프로 플랜
무엇을 확인하나요
- 실행 조건 세 가지를 모두 통과해야 켜집니다 — 도메인 소유 확인, 사업자 확인에 대한 관리자 승인, 프로 플랜. 하나라도 없으면 안전 점검만 돌고 그 사실을 리포트에 적습니다.
- 실증 세 가지: 로그인 토큰(JWT)을 위조해도 서버가 받아주는지, 응답 시간 차이로 드러나는 SQL 삽입, 작은 약점 여러 개를 이어 붙이면 뚫리는지.
- 남의 번호로 조회되는 문제(IDOR)와 관리자 화면 노출은 이 모드에서만 실제로 열어보고, 가능성에서 실증으로 등급을 올립니다.
- 보내는 요청은 읽기(GET·HEAD)뿐입니다. 증거에 섞인 열쇠·토큰은 리포트에 담기 전에 가리고, 응답 본문은 300자까지만 인용합니다.
실증 결과
| 시도한 것 | 판정 |
|---|---|
| /.env 파일 열어보기 | 200 OK · 실증 |
| 다른 사용자 번호로 조회 | 내용 반환 · 실증 |
| 로그인 토큰 위조(alg:none) | 거부됨 · 정상 |
| 요청·응답 증거 캡처 | 리포트 첨부 |
어떻게 동작하나요
01
인가 확인
도메인 소유와 승인 기록을 조회합니다. 확인이 안 되면 시작하지 않고 이유를 남깁니다.
02
재현
앞선 검사에서 나온 위험 중 악용 가능성이 높은 것부터 순서대로 실제 요청을 보냅니다.
03
기록
열린 것만 요청·응답과 함께 남기고, 안 열린 시도는 목록에서 지웁니다.
자주 묻는 질문
- 서비스에 영향이 가나요?
- 읽기 요청만 보내고, 이 모드에서도 전체 요청 수를 최대 56회로 묶어둡니다. 데이터를 바꾸거나 지우는 시나리오는 이 기능에 들어 있지 않습니다.
- 왜 승인 단계가 세 개나 되나요?
- 남의 사이트를 찌르는 일이 절대 일어나지 않게 하기 위해서입니다. 조회가 실패하면 “허용”이 아니라 “불가”로 판정하도록 코드가 짜여 있습니다.
함께 보면 좋은 기능
내 저장소에서도
같은 문제가 있는지 보세요
무료 플랜은 카드 등록 없이 시작합니다.