목 차
1. Burp Suite (버프 스위트)
대표적인 웹 애플리케이션 보안 테스트 도구로 스캐닝을 포함하여 다양한 유형의 보안 테스트 수행이 가능합니다.
주요 기능 중 하나는 웹 브라우저와 대상 애플리케이션 간의 HTTP/S 트래픽을 가로채고 수정하는 기능입니다. 이를 통해 보안 전문가는 브라우저와 애플리케이션 사이에 전송된 요청과 응답을 검사하고 수정할 수 있습니다. 이는 인젝션 결함, 인증 문제 및 기타 유형의 취약성과 같은 취약성을 식별하는 데 유용할 수 있습니다.
웹 프록시 도구들 중 가장 대중적으로 널리 알려진 Burp Suite에 대한 자세한 기능들에 대해서 앞으로 작성을 하려고 합니다.
유명한 웹 프록시 도구는 다음과 같습니다.
Burp Suite: Burp Suite는 브라우저와 서버 간의 HTTP/S 트래픽을 가로채고 수정하기 위한 웹 프록시 기능을 포함하는 강력한 웹 애플리케이션 보안 테스트 도구입니다. 이를 통해 사용자는 트래픽의 다양한 측면을 분석, 수정 및 테스트할 수 있으므로 보안 전문가 및 개발자에게 널리 사용됩니다.
Fiddler: Fiddler는 브라우저와 서버 간의 HTTP/S 트래픽을 가로채고 분석하는 데 사용할 수 있는 무료 웹 디버깅 프록시 도구입니다. 여기에는 트래픽 필터링, 스크립팅 및 성능 테스트와 같은 다양한 기능이 포함되어 있어 개발자와 테스터에게 인기 있는 선택입니다.
Charles: Charles는 사용자가 브라우저와 서버 간의 HTTP/S 트래픽을 가로채고 분석할 수 있는 웹 디버깅 프록시 도구입니다. 여기에는 SSL 프록시, 대역폭 제한, 요청/응답 재작성 등의 기능이 포함되어 있어 개발자와 테스터에게 인기 있는 선택입니다.
OWASP ZAP: OWASP ZAP는 HTTP/S 트래픽을 가로채고 수정하기 위한 웹 프록시 기능이 포함된 무료 웹 애플리케이션 보안 테스트 도구입니다. 여기에는 자동화된 취약성 검색, 수동 테스트 도구 및 스크립트 가능한 공격과 같은 광범위한 보안 테스트 기능이 포함되어 있어 보안 전문가 및 개발자에게 인기 있는 선택입니다.
Proxyman: Proxyman은 사용자 친화적인 인터페이스와 SSL 프록시, 요청/응답 편집 및 성능 테스트와 같은 다양한 기능을 포함하는 macOS용 최신 웹 디버깅 프록시 도구입니다. 보다 현대적이고 사용자 친화적인 도구를 선호하는 개발자와 테스터에게 인기 있는 선택입니다.
2. 다운로드
2023-03-05 최신버전 다운로드 및 설치합니다.
Professional / Community 2023.3.5
This release upgrades Burp's built-in browser to Chromium 112.0.5615.137/138 for Windows, 112.0.5615.165 for Linux, and 112.0.5615.137 for Mac.
portswigger.net
3. 기본세팅
Proxy > Proxy settings 선택합니다.
Tools > Proxy > Proxy listeners > interface에서 IP:PORT 세팅을 확인합니다. (기본값: 127.0.0.1:8080)
Windows에서 '프록시 설정 변경' 선택합니다.
설정 > 네트워크 및 인터넷 > 프록시
수동 프록시 설정 메뉴에서 주소와 포트를 burp 설정과 동일하게 설정합니다.
4. HTTPS Proxy 세팅
프록시 기본 설정 후 인터넷 브라우저에서 http://burp/ 입력합니다.
접속된 페이지에서 CA Certificate 선택 후 인증서 다운로드합니다.
인증서 실행 후 인증서 설치를 선택합니다.
로컬 컴퓨터 선택 후 다음을 선택합니다.
찾아보기 선택 후 '신뢰할 수 있는 루트 인증 기관' 선택 후 다음을 선택합니다.
마침 선택 후 인증서 설치를 완료합니다.
https 프로토콜이 정상적으로 intercept 되는 것을 확인합니다.
5. Request interception, Response interception
Tools > Proxy > Request interception rules 메뉴에서 intercept requests based on the following rules 선택합니다.
Tools > Proxy > Response interception rules 메뉴에서 intercept requests based on the following rules 선택합니다.
해당 옵션을 선택해야 Request, Response 모두 Intercept가 가능합니다.
5. Intercept
Proxy > Intercept 화면에서 Intercept is off를 눌러 Intercept is on으로 변경 시 트래픽 수정이 가능합니다.
'점검 도구 > 버프 스위트 (Burp Suite)' 카테고리의 다른 글
| Burp Suite (버프 스위트) - 4. iOS CA 인증서 설치 (0) | 2024.05.09 |
|---|---|
| Burp Suite (버프 스위트) - 3. 모든 서브 도메인 범위 설정 (scope) (0) | 2023.12.27 |
| Burp Suite (버프 스위트) - 2. Android CA 인증서 설치 (0) | 2023.05.31 |