t-box를 부숴보고, 제대로 다시 만든다

1. 부순다 — 보안을 고려하지 않은 t-box를 내려받아 실행하고, 직접 공격해본다
2. 이해한다 — 왜 이렇게 쉽게 뚫렸는지, 제대로면 뭐가 달라야 하는지
3. 설계한다 — 보안을 처음부터 넣은 PRD·아키텍처를 AI와 만든다
4. 만들어 온다 — 제대로 된 t-box를 완성하는 게 숙제

1. 브라우저사용자가 주소를 입력하고 화면을 보는 곳
2. 도메인 · DNS도메인을 실제 서버 IP로 바꿔줌 · 우리 서버 아니고 인터넷에 있는 주소록
3. 웹 서버 · t-box 앱요청을 받아 처리하는 우리 프로그램 · HTTPS로 암호화되어 오갑니다
4. 데이터베이스파일 정보 · 사용자 · 감사 로그를 저장 · 만들고·읽고·고치고·지움(CRUD)
5. 파일 저장소실제 업로드된 파일을 보관

SSH로 접속했다면 창을 하나 더 열어 같은 VM에 한 번 더 접속하면 됨. 아래 ①②는 터미널 B, ③은 터미널 A에서 실행함.

curl -fsSL https://claude.ai/install.sh | bash

sudo mkdir -p /var/www/html
sudo chown -R $USER /var/www/html

cd /var/www/html
claude

claude 처음 실행하면 로그인 안내가 나옴. 로그인한 뒤(또는 /login) 프롬프트 창에 한글로 요청 입력하면 됨. 터미널 B도 cd /var/www/html 해두면 편함.

sudo

“관리자 권한으로 실행”이란 뜻임. 시스템 폴더 만들거나 프로그램 설치할 땐 권한이 필요해서 명령 앞에 붙임. 비번 물으면 충님이 알려준 거 입력해 — 아래 ④에서 안 묻게 설정함.

sudo chown -R $USER /var/www/html

/var/www/html 폴더와 그 안의 모든 것(-R)의 소유자를 지금 나($USER)로 바꿉니다. 이래야 앞으로 sudo 없이도 그 폴더에서 자유롭게 파일을 만들고 지울 수 있어요.

첫 바이브 코딩 연습임. 터미널 A(Claude Code)에 아래 프롬프트 붙여넣어 명령어를 받고, 그걸 터미널 B에 붙여넣어 직접 실행함.

지금 이 리눅스 계정이 sudo를 쓸 때 비밀번호를 묻지 않도록 설정하고 싶어.
교육용 실습 VM이고, 내가 관리자 권한을 가지고 있어.

- visudo로 문법 검사를 하면서 /etc/sudoers.d/ 아래에 파일을 만드는 방식으로 알려줘
- 내 계정 이름은 직접 확인해서 넣어줘 (whoami)
- 실행할 명령어를 복사해서 쓸 수 있게 알려주고, 설정이 잘 됐는지 확인하는 방법도 알려줘

명령은 네가 실행하지 말고, 내가 터미널에 붙여넣어 직접 실행할게.

받은 명령을 터미널 B에 붙여넣어 실행한 뒤 아래로 확인함. OK 나오면 성공.

sudo -n true && echo "OK" || echo "아직 비밀번호를 묻습니다"

터미널 B에서 코드를 /var/www/html에 받음. (Claude Code 돌아가는 A는 그대로 둠.)

cd /var/www
sudo rm -rf html
sudo git clone https://git2.tla.so/hardline7/t-box-sample.git html
sudo chown -R $USER /var/www/html
cd /var/www/html

코드를 새로 받았으니 터미널 A에서도 cd /var/www/html 다시 입력 필요함. 안 하면 Claude Code가 옛 폴더를 봄.

저장소 안에 INSTALL.md라는 설치 안내서가 들어 있음. 명령어를 하나씩 칠 필요 없이, 터미널 A에 아래 한 줄만 붙여넣으면 Claude Code가 웹서버·DB·nginx 설정까지 알아서 해줌.

/var/www/html 의 INSTALL.md 를 읽고,
t-box가 내 VM에서 잘 실행되도록 설치해줘.
내 도메인은 "내이메일앞자리.tla.so" 야.
설치가 끝나면 브라우저로 접속되는지 확인하는 방법도 알려줘.

중간에 sudo 비번을 안 물어야 안 멈춤 — 그건 앞 단계(sudo 설정)에서 이미 처리했음.

설치할 때 schema.sql이 예시 파일 5개를 이미 넣어놨음. 따로 업로드할 필요 없이 바로 시작하면 됨.

목록이 비어 있으면 설치가 덜 된 거임 → INSTALL.md의 DB 단계를 다시 실행.

Employee에겐 삭제 버튼이 화면에서 숨겨져 있을 뿐, 버튼 자체는 브라우저 안에 그대로 있음. 숨긴 걸 다시 보이게 만들어 눌러봄.

1. Employee 계정으로 전환 → 목록에 삭제 버튼이 안 보이는 것 확인
2. F12를 눌러 개발자도구 열기 → Elements(요소) 탭 선택
3. 왼쪽 위 화살표 아이콘(Ctrl+Shift+C)을 켜고 파일 목록의 한 줄을 클릭 → 그 줄의 HTML로 이동
4. 그 근처에서 삭제 버튼 태그를 찾습니다. style="display:none"이나 hidden, class="hidden"이 붙어 있을 거임
5. 그 부분을 더블클릭해서 지우고 Enter → 화면에 삭제 버튼이 나타납니다
6. 나타난 삭제 버튼을 클릭 → 파일이 진짜로 삭제되는지 확인

<td class="actions">
  <a class="btn btn-ghost" href="api/download.php?id=3">받기</a>
  <button class="btn btn-danger js-delete" data-id="3"
          style="display:none">삭제</button>
</td>

// 삭제 버튼을 누르면 콘솔에 찍히는 서버 응답
{
  "ok": true,
  "deleted": "사내공지.txt",
  "by": "employee01 (Employee)",
  "note": "서버가 권한을 확인하지 않았습니다"
}

버튼을 못 찾겠으면 콘솔에서 API를 직접 불러도 결과는 같음. 파일 ID(id=3)는 목록에 보이는 번호로 바꿔야 함 — Network 탭에서 실제 삭제 요청 주소 확인 가능함.

fetch("api/files.php?id=3", { method: "DELETE" })
  .then((res) => res.json())
  .then(console.log);

Guest로 바꿔봄. 그래도 관리자 전용 급여명세_2026.txt가 목록에 보이고 “받기”를 누르면 실제로 내려받아짐. 화면에서 숨기지도 않은, 가장 노골적인 정보 유출임.

원인은 서버임. 개발자도구 Network 탭에서 api/files.php 응답을 열면 서버가 역할과 상관없이 모든 파일을 통째로 내려주는 게 보임.

1. 위쪽 역할 전환을 Guest로 바꾸고 → 급여명세 파일이 보이는지 확인
2. 그 줄의 “받기”를 눌러 실제로 내려받아지는지 확인
3. F12 → Network 탭 → 새로고침 → files.php 응답에 admin-only가 있는지 확인

{
  "user": { "name": "guest01", "role": "Guest" },
  "files": [
    { "id": 1, "original_name": "회사소개.txt",  "access_level": "public" },
    { "id": 3, "original_name": "사내공지.txt",  "access_level": "internal" },
    { "id": 5, "original_name": "급여명세_2026.txt", "access_level": "admin-only" }
  ]
}

파일명이나 설명에 아래 값을 넣고 목록 화면으로 가면, 값이 글자가 아니라 코드로 실행됨.

<script>alert('나는 해커다!! 이 서비스는 해킹됐다!!')</script>

<img src=x onerror="alert('나는 해커다!! 이 서비스는 해킹됐다!!')">

t-box 아래쪽 “URL로 파일 가져오기” 칸에 아래 주소를 붙여넣고, 옆 검사 방식을 바꿔가며 검사를 눌러봄.

http://169.254.169.254/latest/meta-data

1. 위 주소를 붙여넣고 검사 방식 = 취약한 검사 → 검사 클릭 → 허용됨 ✅ 뜨는지 확인
2. 같은 주소로 검사 방식 = 방어된 검사 → 검사 클릭 → 차단됨 ⛔ 뜨는지 확인
3. 아래 표의 다른 주소들도 취약한 검사로 넣어보며 뭐가 통과되는지 확인

숙제로 만들 제대로 된 t-box는 아래처럼 막아야 함. 지금 앱의 “방어된 검사”가 이걸 하고 있음.

• http/https만 허용
• DNS 해석 후 IP 검사 · 사설 IP·localhost·link-local 차단
• 리다이렉트 후 최종 주소 재검사
• 요청 시간 제한 · 응답 크기 제한
• 차단 이벤트를 감사 로그에 기록

• 업로드·목록·다운로드·삭제가 동작한다 (기본 기능)
• 권한 검사가 서버에 있다 — Employee가 삭제 API를 직접 호출해도 403
• 권한 없는 파일은 목록·다운로드 응답에 아예 없다 (Network 탭으로 확인)
• 파일명·설명에 <script>를 넣어도 코드가 아니라 글자로 보인다
• URL 가져오기가 있다면 내부 주소를 차단한다 (SSRF)
• 업로드 크기·형식 제한이 있다
• 주요 행동과 차단 이벤트가 감사 로그에 남고 Admin만 본다
• 기능이 될 때마다 커밋(한글 메시지)하고 Git 서버에 push

1. 보안을 고려하지 않은 t-box를 직접 공격해 권한 우회·데이터 노출·XSS·SSRF를 겪음
2. 그 원인이 서버·설계에 있었음을 이해
3. 보안을 처음부터 넣은 PRD·아키텍처를 AI와 설계하고 문서로 저장
4. 숙제 — 그 설계대로 제대로 된 t-box를 완성해 Git 서버에 push

숙제(제대로 된 t-box)를 내 저장소에 올리려면 저장소와 토큰이 필요함.

1. git2.tla.so에 로그인 → ＋ → New Repository → 이름 t-box (README 체크 안 함, 빈 저장소)
2. 프로필 → 설정 → 어플리케이션 → 액세스 토큰 관리 → 새 토큰 → 권한에서 repository = 읽기와 쓰기 → 생성 후 토큰 복사
3. /var/www/html/.env에 계정·이메일·저장소주소·토큰을 넣고, Claude Code에 아래처럼 설정을 맡기기

/var/www/html/.env 에 GIT_USERNAME, GIT_EMAIL, GIT_REPOSITORY, GIT_TOKEN이 있어.
이 값으로 git을 초기화하고, 이름·이메일을 설정하고,
원격 저장소 origin을 토큰이 포함된 주소로 연결해줘.
.env는 .gitignore에 넣어 커밋되지 않게 해줘.
커밋 메시지는 항상 한글로 제안해줘.

⚠ 토큰은 .env에만. AI 대화창에 토큰 값을 직접 붙여넣지 마.