윤석찬
Offensive Web Security Researcher
Security Contributor of GitHub, Python, Django, Airflow, Ruby, Ruby-on-Rails, Java Spring
Education
컴퓨터공학과 재학
경희대학교
취약점분석트랙 수료
차세대 보안리더 양성 프로그램 Best of the Best 6기
해킹방어과 졸업
한국디지털미디어고등학교
Work Experience
Security Team Member (Volunteer)
Airflow Security Team, Apache Software Foundation USA
- • Airflow 팀에 제보되는 보안 이슈 검토 및 대응
- • 오픈소스 커뮤니티와의 협업
- • ASF 가이드라인에 따라 프로젝트의 보안 수준 유지
Security Researcher
Zellic.io USA
-
• Web2 시스템 및 인프라 보안 감사 (source code based auditing)
- ◦ SaaS 플랫폼, 가상자산 거래소 인프라 등 복잡한 Web2 환경에 대한 심층 보안성 검토 수행
- ◦ 비즈니스 로직 취약점, Denial-of-service, SQL Injection 등 고위험군 취약점을 화이트박스/그레이박스 테스트를 통해 식별
-
• 보안 컨설팅 및 리스크 관리
- ◦ 클라이언트와 직접 소통하며, 비즈니스 연속성과 보안성 사이의 Trade-off를 고려한 최적의 조치 방안 제안 및 논의
학부 연구생
PWNLAB (경희대 시스템 보안 연구실, 지도교수: 장대희)
-
• 삼성전자 멀티 클라우드 통합 보안 검수 도구 개발 및 웹 서비스 대상 모의해킹
- ◦ AWS, GCP, Azure 플랫폼의 보안 컴플라이언스 260여 개 항목(IAM, Network, Container, Database, Storage, Monitoring, Logging 등)을 자동 진단하는 IaC 기반 스캐너 구현 (Python, FastAPI)
- ◦ 대규모 기업 환경에 적합한 Agentless 아키텍처 및 Multi-thread 병렬 스캔 엔진 설계로 진단 효율성 최적화
- ◦ 삼성전자 소유 웹 서비스 19개를 대상으로 블랙박스 펜테스팅 수행 및 10건의 주요 취약점 식별 -- IDOR(부적절한 데이터 접근), 파일 업로드 필터 우회, XSS 등 중간 파급도 취약점 발굴 및 대응 방안 제시
- • 시스템 해킹 워게임 `pwnable.kr` 소스코드 유지보수 및 기능 개발 (PHP)
OO부대, OO병
국방부 산하 연구소
- • OO 연구 개발
R&D / 선제대응팀, Security Engineer
스틸리언
- • 웹 모의해킹
- • 교육시스템 (Cyber Drill System, Django + React) 개발 및 CTF 운영
- • 사내 기술 관리 도구, 기술블로그, 배포시스템 등 인프라 개발 및 유지보수
CTF Awards
2025 사이버공격방어대회
Finalist- 국가정보원 주최
- Team: 경희대미남해커들 (KHU's hansome hackers)
2025 DEF CON CTF 33
Finalist- Nautilus Institute 주최
- Team: Cold Fusion
🏆 2024 화이트햇 콘테스트
- 국방부 주최
- Team: 키보드워리어플랫폼
1st, 국방부장관상
2023 CODEGATE
Finalist- 과학기술정보통신부 주최
- Team: 경희대미남해커들 (KHU's hansome hackers)
2022 CODEGATE
Finalist- 과학기술정보통신부 주최
- Team: 경희대미남해커들 (KHU's hansome hackers)
🏆 2022 사이버공격방어대회
- 국가정보원 주최
- Team: resilience
2nd, 국가보안연구소장상
🏆 2022 HACKTHEON SEJONG 전국대학생사이버보안경진대회
- 세종특별자치시 주최
- Team: 라임도둑
6st, 국가보안연구소장상
🏆 2021 사이버공격방어대회
- 국가정보원 주최
- Team: resilience
2nd, 국가보안연구소장상
🏆 2019 사이버작전경연대회
- 국방부 주최
- Team: 윤석찬TV구독과좋아요알림설정까지
2nd, 사이버작전사령관상
🏆 2018 정보보안경진대회
- 교육부 주최
1st, 서울여대 총장상
🏆 2018 정보보안경진대회
- 교육부 주최
- Team: 문시우1인팀
1st, 교육부 장관상
🏆 2017 정보보안경진대회
- 한국교육학술정보원 주최
- Team: 4-day exploit
1st, 한국교육학술정보원장상
Disclosed Vulnerabilities
Python
CVE-2024-7592
Denial of ServiceA vulnerability in Python allows quadratic complexity parsing when handling cookies containing backslashes, potentially leading to performance degradation.
Django
CVE-2023-36053
Regular Expression Denial of ServiceIn Django 3.2 before 3.2.20, 4 before 4.1.10, and 4.2 before 4.2.3, `EmailValidator` and `URLValidator` are subject to a potential ReDoS (regular expression denial of service) attack via a very large number of domain name labels of emails and URLs.
Django
CVE-2024-24680
Denial of ServiceA vulnerability in the Django `intcomma` template filter could lead to a potential denial of service if certain crafted inputs are processed.
Django
CVE-2024-27351
Regular Expression Denial of ServiceA vulnerability in Django's `Truncator.words()` function may allow a ReDoS attack under certain circumstances.
Django
CVE-2024-21520
Cross-Site ScriptingThe browserable API of the Django Rest Framework is vulnerable to cross-site scripting due to improper sanitization of user-supplied inputs.
Django
CVE-2024-41991
Denial of ServiceA vulnerability in Django's `urlize` function and `AdminURLFieldWidget` could allow for a denial of service under specific crafted input conditions.
Django
CVE-2024-53908
SQL InjectionA vulnerability in the `HasKey` function in Django when using Oracle databases may allow a potential SQL injection.
Django
CVE-2025-48432
Log InjectionInternal HTTP response logging used request.path directly, allowing control characters (e.g. newlines or ANSI escape sequences) to be written unescaped into logs.
Django
CVE-2025-64458
Denial of ServicePython's NFKC normalization is slow on Windows. As a consequence, Django's HttpResponseRedirect, HttpResponsePermanentRedirect, and the redirect() shortcut were subject to a potential denial-of-service attack via inputs containing a very large number of Unicode characters (follow-up to CVE-2025-27556).
Django
CVE-2025-64460
Denial of ServiceAlgorithmic complexity in `django.core.serializers.xml_serializer.getInnerText()` allowed a remote attacker to cause a potential denial-of-service triggering CPU and memory exhaustion via specially crafted XML input submitted to a service that invokes XML Deserializer. The vulnerability resulted from repeated string concatenation while recursively collecting text nodes, which produced superlinear computation resulting in service degradation or outage.
FastAPI / Starlette
CVE-2025-62727
Denial of ServiceFound an O(n^2) complexity denial of service in Starlette's FileResponse Range header merging that lets an attacker exhaust resources with a single crafted request.
Apache Airflow
CVE-2024-39877
Code ExecutionA vulnerability in Apache Airflow's scheduler allows DAG authors to execute arbitrary code, potentially compromising the scheduler node.
Apache Airflow
CVE-2024-39863
Cross-Site ScriptingImproper sanitization in Apache Airflow's web interface could lead to a cross-site scripting vulnerability.
Apache Airflow
CVE-2024-45034
Code ExecutionAuthenticated DAG authors in Apache Airflow can execute arbitrary code on scheduler nodes, leading to potential system compromise.
Ruby
CVE-2024-41123
Denial of ServiceVulnerabilities in Ruby's REXML library allow attackers to cause a denial of service by crafting malicious XML inputs.
Ruby on Rails
CVE-2024-47887
Regular Expression Denial of ServiceRuby on Rails' Action Controller is vulnerable to a potential regular expression denial of service when handling HTTP token authentication.
Ruby on Rails
CVE-2024-41128
Regular Expression Denial of ServiceA vulnerability in Rails' Action Dispatch may allow a regular expression denial of service when filtering query parameters.
Java Spring
CVE-2024-38809
Denial of ServiceSpring Framework is vulnerable to a potential denial of service caused by a crafted conditional HTTP request.
GitHub
HackerOne #2646500
Denial of ServiceGitHub is vulnerable to a potential denial of service caused by a malicously crafted HTTP request.
NAVER
NBB-1126
Stored XSSNAVER is vulnerable to a stored-xss caused by a crafted payload.
NAVER
NBB-1143
SQL InjectionNAVER is vulnerable to a SQL injection caused by a crafted payload.
NAVER
NBB-1260
Stored XSSNAVER is vulnerable to a stored XSS caused by a crafted payload.
Talks
" 해커의 관점에서 바라본 Django Framework " (한국어)
PyCon KR 2024
" Django Framework N-day 취약점 분석과 시큐어 코딩 가이드 " (한국어)
CODEGATE 2023
" Django 프레임워크 1-day analysis " (한국어)
제 26회 해킹캠프
" 모던 웹 서비스에서의 버그케이스와 시큐어코딩 " (한국어)
STEALIEN Security Semiar
Blogs
$5짜리 프롬프트로 $2,163짜리 취약점 찾은 썰
https://new-blog.ch4n3.kr/llm-found-security-issues-from-django-ko/
DEF CON 33 CTF 후기
https://new-blog.ch4n3.kr/def-con-33-review-ko/
Airflow, 과연 안전할까? ー 보안 취약점 리뷰
https://new-blog.ch4n3.kr/is-airflow-truly-safe-ko/
(PyCon KR 2024) 해커의 관점으로 바라본 Django Framework
https://new-blog.ch4n3.kr/pycon-kr-2024/