SQL 인젝션에 대한 근본적인 대응책으로 가장 효과적인 것은?

파라미터 바인딩(Prepared Statement) 사용

에러 메시지를 상세히 출력

항상 관리자 계정으로 DB 접속

게시판 등에 악성 스크립트를 삽입해 다른 사용자의 브라우저에서 실행되게 하는 공격은?

XSS(크로스 사이트 스크립팅)

인증·세션 관리 취약점을 예방하기 위한 조치로 옳은 것은?

로그인 성공 후 세션ID 재발급

비밀번호를 평문으로 저장

웹셸 등 악성 파일이 업로드되어 실행되는 것을 막기 위한 대책으로 옳은 것은?

확장자 화이트리스트 검증 및 업로드 파일의 실행권한 제거

업로드 경로를 웹 루트에 직접 지정

업로드된 파일명을 그대로 저장

클라이언트 측 검증만 수행

'../../' 같은 상위 경로 문자를 이용해 웹 루트 밖의 파일에 접근하는 공격은?

디렉터리 트래버설(경로 조작)

정보보안기사필기 과목

정보보안기사 애플리케이션 보안 예상문제

애플리케이션 보안은 정보보안기사 필기 5개 과목 가운데 하나입니다. CertHub가 이 과목으로 제작한 20문항 중 8문항을 정답·해설과 함께 아래에 실었습니다.

애플리케이션 보안 공략 — OWASP Top 10을 중심으로 취약점의 원인과 시큐어 코딩 대응책을 짝지어 정리해요.

애플리케이션 보안 과목 개요

웹 애플리케이션의 대표 취약점인 SQL 인젝션, XSS, CSRF, 파일 업로드, 디렉터리 트래버설, 부적절한 인가와 그 대응책을 중심으로, 세션과 쿠키 보안 속성, 웹 방화벽, 이메일·FTP·HTTPS 같은 응용 프로토콜 보안, DRM과 안전한 개발 생명주기까지 다룹니다.

취약점 이름을 고르는 문항과 그 취약점에 맞는 대응책을 고르는 문항이 짝을 이루어 나옵니다. 공격 원리와 근본 대책을 표로 묶어 두면 효율이 좋고, 특히 비슷해 보이는 XSS와 CSRF, HttpOnly와 Secure 속성처럼 헷갈리기 쉬운 쌍은 차이를 한 문장으로 말할 수 있어야 합니다. 네트워크 보안에서 배운 TLS와 방화벽 개념이 HTTPS와 WAF 문항의 바탕이 됩니다.

출제 비중

CertHub 예상문제 100문항 중 20문항(20.0%)이 이 과목입니다.문제 은행 구성 비율이며 시행기관의 공식 출제 비중이 아닙니다. CertHub 과목 분류는 시행기관의 시험 과목과 다를 수 있습니다.

애플리케이션 보안 핵심 개념 요약

SQL 인젝션: 검증되지 않은 입력값이 쿼리에 그대로 들어가 인증 우회나 데이터 유출이 일어나는 취약점입니다. 결과가 화면에 보이지 않을 때 참·거짓 응답 차이로 값을 알아내는 방식은 Blind 기법이며, 근본 대책은 입력을 데이터로만 다루는 파라미터 바인딩입니다.
XSS: 악성 스크립트가 다른 사용자 브라우저에서 실행되는 공격으로, 저장형은 서버에 저장되어 계속 실행되고 반사형은 요청에 담긴 스크립트가 응답에 바로 되돌아옵니다. 출력할 때 특수문자를 HTML 엔티티로 바꾸는 것이 기본 대책입니다.
CSRF와 세션 관리: CSRF는 로그인된 사용자의 브라우저를 이용해 사용자 몰래 요청을 보내게 하며, 요청마다 예측할 수 없는 토큰을 넣어 검증하면 막을 수 있습니다. 로그인 성공 뒤 세션 ID를 새로 발급하면 세션 고정 공격을 예방합니다.
쿠키 보안 속성: HttpOnly를 설정하면 스크립트가 쿠키를 읽지 못해 XSS를 통한 세션 탈취가 줄어듭니다. Secure는 쿠키가 HTTPS 연결에서만 전송되도록 강제해 평문 통신에서의 노출을 막습니다.
파일·경로·인가 취약점: 웹셸 업로드는 확장자 화이트리스트 검증, 실행 권한 제거, 웹 루트 밖 저장으로 막습니다. 상위 경로 문자로 웹 루트 밖 파일에 접근하는 것이 디렉터리 트래버설이며, 서버 측 권한 검증이 부족하면 취약한 접근제어가 됩니다.
응용 프로토콜 보안과 WAF: 기본 FTP는 계정 정보를 평문으로 보내 FTPS나 SFTP로 보완하고, HTTPS는 HTTP에 TLS를 입혀 443 포트를 씁니다. S/MIME은 인증서로 이메일을 암호화·서명하며, WAF는 HTTP 내용을 분석해 웹 공격을 차단합니다.

정보보안기사 애플리케이션 보안 예상문제 미리보기

애플리케이션 보안 과목 20문항 중 8문항입니다. 정답과 해설은 눌러서 확인할 수 있습니다.

애플리케이션 보안1번 문항
사용자 입력값이 SQL 쿼리에 그대로 삽입되어 데이터베이스가 조작되는 취약점은?
1. 1.SQL Injection
2. 2.XSS
3. 3.CSRF
4. 4.디렉터리 리스팅
정답·해설 보기
정답 1번. SQL Injection
SQL Injection은 검증되지 않은 입력값이 쿼리문에 삽입되어 인증 우회, 데이터 유출·변조 등을 일으키는 취약점입니다.
애플리케이션 보안2번 문항
SQL 인젝션에 대한 근본적인 대응책으로 가장 효과적인 것은?
1. 1.에러 메시지를 상세히 출력
2. 2.항상 관리자 계정으로 DB 접속
3. 3.쿠키 값을 암호화
4. 4.파라미터 바인딩(Prepared Statement) 사용
정답·해설 보기
정답 4번. 파라미터 바인딩(Prepared Statement) 사용
파라미터 바인딩은 입력값을 쿼리 구조와 분리해 데이터로만 처리하므로 SQL 인젝션을 근본적으로 차단하는 가장 효과적인 대응책입니다.
애플리케이션 보안3번 문항
게시판 등에 악성 스크립트를 삽입해 다른 사용자의 브라우저에서 실행되게 하는 공격은?
1. 1.무차별 대입
2. 2.SQL Injection
3. 3.버퍼 오버플로우
4. 4.XSS(크로스 사이트 스크립팅)
정답·해설 보기
정답 4번. XSS(크로스 사이트 스크립팅)
XSS는 검증되지 않은 스크립트가 웹 페이지에 삽입되어 다른 사용자의 브라우저에서 실행되며, 세션 탈취·피싱 등에 악용됩니다.
애플리케이션 보안4번 문항
사용자가 로그인된 상태를 악용하여 의도하지 않은 요청을 서버로 전송하게 만드는 공격은?
1. 1.XSS
2. 2.CSRF
3. 3.SQL Injection
4. 4.네트워크 스니핑
정답·해설 보기
정답 2번. CSRF
CSRF(사이트 간 요청 위조)는 인증된 사용자의 브라우저를 통해 공격자가 원하는 요청을 서버로 보내, 사용자 몰래 상태 변경 작업을 수행하게 합니다.
애플리케이션 보안5번 문항
CSRF를 방어하기 위해 요청마다 예측 불가능한 값을 포함시키는 기법은?
1. 1.입력값 길이 제한
2. 2.URL 단축
3. 3.쿠키 전체 삭제
4. 4.CSRF 토큰
정답·해설 보기
정답 4번. CSRF 토큰
CSRF 토큰은 서버가 발급한 예측 불가능한 값을 요청마다 포함시켜 검증함으로써, 공격자가 유도한 위조 요청을 서버가 걸러내도록 만드는 대응책입니다.
애플리케이션 보안6번 문항
인증·세션 관리 취약점을 예방하기 위한 조치로 옳은 것은?
1. 1.디렉터리 인덱싱 허용
2. 2.비밀번호를 평문으로 저장
3. 3.세션ID를 URL에 노출
4. 4.로그인 성공 후 세션ID 재발급
정답·해설 보기
정답 4번. 로그인 성공 후 세션ID 재발급
로그인 후 세션ID를 재발급하면 세션 고정(Session Fixation) 공격을 방지할 수 있으며, 안전한 세션 관리의 기본 원칙입니다.
애플리케이션 보안7번 문항
웹셸 등 악성 파일이 업로드되어 실행되는 것을 막기 위한 대책으로 옳은 것은?
1. 1.업로드 경로를 웹 루트에 직접 지정
2. 2.업로드된 파일명을 그대로 저장
3. 3.확장자 화이트리스트 검증 및 업로드 파일의 실행권한 제거
4. 4.클라이언트 측 검증만 수행
정답·해설 보기
정답 3번. 확장자 화이트리스트 검증 및 업로드 파일의 실행권한 제거
허용된 확장자만 받는 화이트리스트 검증과 업로드 파일의 실행권한 제거, 웹 루트 외부 저장 등이 웹셸 업로드를 막는 핵심 대책입니다.
애플리케이션 보안8번 문항
'../../' 같은 상위 경로 문자를 이용해 웹 루트 밖의 파일에 접근하는 공격은?
1. 1.XSS
2. 2.CSRF
3. 3.디렉터리 트래버설(경로 조작)
4. 4.SQL Injection
정답·해설 보기
정답 3번. 디렉터리 트래버설(경로 조작)
디렉터리 트래버설은 상대경로 문자로 상위 디렉터리로 이동해 시스템 파일 등에 접근하는 공격이며, 입력값 검증과 경로 정규화로 차단할 수 있습니다.

애플리케이션 보안만 골라서 모의고사 풀기

CBT 모의고사에서 과목을 애플리케이션 보안으로 지정하면 이 과목 문항만 출제됩니다. 전체 100문항을 무료로 풀 수 있어요.

정보보안기사 CBT 모의고사 시작하기

CertHub 예상문제집 · PDF

정보보안기사 예상문제 100제

애플리케이션 보안을 포함해 전 과목을 정답·해설과 함께 인쇄해서 풀어 보세요.

출제기준 과목 구성에 맞춘 자체 제작 예상문제
전 문항 정답 · 해설 수록 (오답 보기까지)
빠른 정답표로 먼저 채점 → 틀린 문항만 정독
A4 인쇄 최적화 PDF, 가정용 프린터 출력 가능

5,000원

구매하러 가기

기출문제 원본이 아닌 CertHub 자체 제작 예상문제입니다. 디지털 콘텐츠 특성상 다운로드가 시작된 이후에는 환불이 어렵습니다. 결제와 다운로드는 외부 판매 페이지(래피드)에서 진행됩니다.

다른 종목 예상문제 PDF 보기

정보보안기사 시험일정·응시자격·합격률 보기

기준일 2026년 10월 13일 · CertHub가 자체 제작한 예상문제입니다. 시행기관이 공개한 기출문제가 아닙니다.