1. 프록시(Proxy)와 프록시 툴(Proxy Tool)
프록시 (Proxy)
클라이언트(Client)와 서버(Server) 사이에서 데이터를 대신 전달하는 중계기이다.
- Forward Proxy (보안, 익명성)
클라이언트 앞단에 위치하여 클라이언트가 서버로 보내는 요청을 중계 - Reverse Proxy (보안, 속도)
웹 서버 앞단에 위치하여 클라이언트의 요청을 받아 내부 서버로 분산하거나 캐싱
프록시 툴 (Proxy Tool)
프록시 서버의 기능을 활용하는 프로그램이며, 아래와 같은 기능을 할 수 있다.
- 트래식을 실시간으로 가로챔 (Intercept)
- 내용을 확인하거나 변조하여 서버로 보냄
- 반복 테스트를 자동화
프록시는 눈에 직접적으로 보이지 않기 때문에, 이를 쉽게 다루기 위해 프록시 툴을 사용한다.
대표적인 프록시 툴은 다음과 같다.
- Burp Suite: 가장 널리 사용되는 웹 보안 테스트 도구
- Fiddler: 웹 디버깅 및 트래픽 분석에 강점
- Paros: 웹 애플리케이션 보안 평가 도구
- OWASP ZAP: 오픈 소스 웹 애플리케이션 보안 스캐너
이 중에서 Burp Suite의 설치 과정 및 사용법에 대해 알아보겠다.
2. Burp Suite 설치
해당 포스트에서는 Burp Suite Communiny Edition(무료)에 대해 다룰 예정이다.
아래의 링크에서 본인의 운영체제에 맞게 설치 후 실행하면 된다.
3. Burp Suite 프로젝트 생성 및 기본 설정
01. Burp Suite 실행
02. 프로젝트 생성
Community Edition 버전은 Disk에 설치하는 프로젝트를 만들지 못한다.
[Next]로 넘어가면 된다.
03. 사용자 환경 설정
첫 사용이기 때문에 Configuration File이 존재하지 않는다.
마찬가지로 [Start Burp]로 넘어가면 된다.
04. Burp Suite 환경설정 (프록시 설정)
대상 브라우저와 Burp Suite를 연결하는 과정이다.
기본 설정은 127.0.0.1:8080 으로 되어있다.
- 자신의 컴퓨터에서 실행 중인 웹 서버(8080 포트)에 접속할 때 사용하는 로컬 루프백(Loopback) 주소
해당 칸 아래의 Request / Response Interception rules 설정을 통해 조건에 맞는 내용만 캡쳐할 수 있다.
Intercept 기능을 on하면, 브라우저의 요청이 즉시 전달되지 않고 대기 상태가 된다.
사용자는 내용을 수정하거나 분석한 후 서버로 전송(Forward) 및 드룹(Drop)할 수 있다.
추후에 실제 웹 사이트의 패킷을 분석하기 위해서는 수동 프록시 설정이 필요하다.
- 설정 > 프록시 > 수동 프록시 설정 > 127.0.0.1:8080 으로 설정 후 프록시 서버 사용 켜기
4. Burp Suite 실행
해당 포스트에서는 Burp Suite의 기능 실습만을 위한 목적이므로 별도의 수동 프록시 설정은 하지 않았다.
이에 따라 Intercept all 기능을 켠 상태로 [Open browser] 기능을 활용해보았다.
- 프록시 설정이 미리 완료된 전용 Chromium 브라우저를 즉시 실행하는 기능
google.com 접속 시도
Intercept 기능을 on한 상태로 google.com에 접근을 시도한 결과이다.
- 기존 구조: 클라이언트 -> 서버
- 현재 구조: 클라이언트 -> Burp Suite -> 서버
클라이언트의 요청은 Intercept 한 상태이다.
하단의 Request 부분에서 요청의 세부 정보를 볼 수 있다.
해당 요청을 Forward 해주기 전까지는 서버로 요청이 넘어가지 않기에, 브라우저가 다음 단계로 넘어가지 않는다.
google.com으로 접근하기까지 필요한 요청들을 모두 Forward한 결과이다.
5. Burp Suite 기능
툴에 존재하는 각 탭의 역할 및 기능이다.
Dashboard
현재 진행 중인 모든 작업의 상태를 한 눈에 파악할 수 있다.
Target
취약점 진단을 수행할 공격 대상 정의 및 사이트 구조 시각화
Proxy
패킷 가로채기, 데이터 변조, 이력 관리
Repeater
특정 HTTP 요청 수정 및 재전송, 취약점 수동 분석
Intruder
자동화 공격 및 취약점 스캔