Seokchan Yoon

Seokchan Yoon

Hi guys! I'm Seokchan Yoon (Channy), a security researcher working at Seoul, Korea.
Implementing Logging for Signing in, at django `graphene_jwt`

Implementing Logging for Signing in, at django `graphene_jwt`

개요 2020년에 진행했던 회사 프로젝트 중에 Django와 GraphQL을 사용한 프로젝트가 있었다. 사용자의 이용 기록을 저장해야 할 필요가 있던 프로젝트라 사용자가 로그인하는 것을 포함해서 행위를 기록하는 기능을 추가해야했다. 근데 누군가 만들어 둔 패키지에는 로깅 기능을 별도로 추가할 수 있는 기능은 없었고, 이것을 어떻게 해결했는지 기록하는 글이다. 본문 빠르게 개발할 필요가 있던
Seokchan Yoon
CVE-2022-28347: Potential SQLi via QuerySet.explain() on PostgreSQL

CVE-2022-28347: Potential SQLi via QuerySet.explain() on PostgreSQL

CVE-2022-28347, Potential SQL injection in Django QuerySet explain() Analysis > https://github.com/advisories/GHSA-w24h-v9qh-8gxj 이 취약점은 PostgreSQL 환경에서 Django QuerySet의 explain 기능을 수행할 때 발생 가능한 SQL Injection 취약점이다. QuerySet 오브젝트의 explain() 메소드를 수행하면 EXPLAIN 명령어를 사용할 수 있다. 이 명령어를 사용할 때 MySQL과 PostgreSQL에서는 특별히 EXPLAIN 명령어에 옵션을 지정할
Seokchan Yoon
CVE-2022-34265: Potential SQLi via Trunc() and Extract()

CVE-2022-34265: Potential SQLi via Trunc() and Extract()

개요 CVE-2022-34265: Potential SQL injection via Trunc(kind) and Extract(lookup_name) arguments 최근 우리 회사 슬랙 방에서 평소 존경하던 갓해커 분이 올려주신 Django SQL Injection CVE가 하나 있어서 분석해보았다. 아무래도 Django를 통해 사내 프로젝트, 학교 프로젝트를 몇 번씩 진행해본 경험이 있다보니 자칭 Django 전문가로서 CVE를 분석해보지 않고 지나칠 수가
Seokchan Yoon
보안뉴스에 제 발표가 기고되었습니다.

보안뉴스에 제 발표가 기고되었습니다.

안녕하세요? 작년 (2022년) 6월, 회사 세미나 (STEALIEN Security Seminar; 3S)에서 발표할 기회가 생겨서 <모던 웹 어플리케이션에서의 버그케이스와 시큐어코딩>이라는 주제로 발표를 했습니다. 제가 고등학교 시절 참가했던 여러 해킹대회에서, 그리고 입사 후 참여한 모의해킹 프로젝트에서 겪었던 경험을 공유할 수 있는 소중한 시간이었습니다. 저는 STEALIEN에서 각종 프로젝트를 통해 Python3의 Django, Flask
Seokchan Yoon