Burp Suite(패킷 툴)

웹 애플리케이션 보안 테스트를 위한 도구로서, 침투 테스트와 웹 보안 취약점 분석에 사용된다. 패킷 조작과 관련된 기능을 포함하며, 주로 웹 트래픽을 가로채고 수정하는 데 사용된다

(해당 툴을 사용하면, 서버로 전송되는 패킷을 캡처하여 값을 바꿔서 테스트를 할 수 있게됨)

 

사용 사례

• 웹 보안 테스트(SQLi, XSS, CSRF, SSRF, IDOR)
• API 보안 테스트(REST API, JWT/OAuth 토큰 변조)
• 모바일 앱 테스트(앱 트래픽 분석 및 변조)
• 인증 및 로그인 테스트(브루트포스, 세션 하이재킹)
• TLS/HTTP 보안 테스트(암호화 취약점 분석)

주요 기능

1. Intercepting Proxy(패킷 가로채기)
   1. 웹 브라우저와 서버간의 HTTP/HTTPS 트래픽을 가로채고 수정 가능(요청, 응답 분석하여 보안 취약점 확인 가능)
2. Intruder(공격 자동화)
   1. 자동화된 브루트포싱(Brute Force) 및 취약점 탐색 가능
   2. 파라미터 변조 및 대량 요청 테스트 수행
   3. ex) ID/PW 로그인 크래킹 테스트, SQL 인덱션 페이로드 리스트를 대량 입력하여 취약점 탐색
3. Repeater(수동 요청 조작)
   1. HTTP 요청을 반복 실행하며 수동으로 조작
   2. 특정 요청을 반복하여 서버 반응을 분석 가능
   3. ex) JWT 토큰 변조하여 권한 상승 테스트, CSRF 취약점이 있는지 확인하기 위해 요청 재 전송
4. Scanner(자동 취약점 검사)
5. Decoder / Comparer (Base64, URL 인코딩 변환 및 응답 비교)

 

참고

 

https://soondevnote.tistory.com/36

[Burp Suite] Burp Suite 프록시 도구 사용법 (파라미터 위변조)