웹 서비스 해킹을 위한 버프스위트 활용 가이드

버퍼스위트

프록시 - 단말CP ➔ 서버

스캐너 - 웹 취약점 자동진단

스래드, 패턴

확장기능

 

java - jar 파일면 .jar

 

Professional 버전은 유료이고, Community 버전은 무료이다.

Burp suite 실행 화면

한글 설정

(사용자 인터페이스 설정)  User Opions > Display

• 버프스위트에서 캡처할 때 기본으로 영문포트로 설정되어 한글이 깨져보인다. 한글 폰트를 선택하면 된다.

버퍼스위트 프록시(Proxy)개념과 설정 방법

Proxy

단말PC ➔ 프록시 ➔ 서버

Request(요청) ➡ ...... ⬅ Response

 

OWASP-ZAP(무료)

파로스(Paros)

 

Intruder

board.php?idx=

1. 크롬에서 프록시 설정하기

• chrome ➔ 설정 ➔ 고급 ➔ 프록시 설정 열기 ➔ 연결 ➔ LAN 설정

• 127.0.0.1/8080인 이유
  • 버프스위트에서 기본적으로 포트를8080 사용하기 때문

• Porxy ➔ Intercept ➔ intercept is on 버튼 눌름 (Intercept is off가 된다)

Intercept 캡쳐 화면

• Forward 기능은 HTTP 요청을 다른 URL로 전달하는 역할을 합니다.

Intercept : 웹 브라우저와 웹 서버가 주고받는 HTTP 요청 메시지와 응답 메시지를 가로채 내용 변경

                Forward 버튼을 눌러 전송시킬 때까지 웹 서버로 전송되지 않는다.

2.Burp Suite CA 인증서 설치하기

https://darksoulstory.tistory.com/471

• HTTPS 웹 사이트에서도 버프스위트 프록시를 사용할 수 있도록 하기위해 CA를 [신뢰할 수 있는 루트 인증기관]에 설치해야한다.

3.Response interception 

요청(Request) ➔ 응답(Response)

Proxy 설정을 하면 PC 브라우저에서 인터넷 서버로 가기 전에 버프스위트를 거치게 되는데

보내는 부분(Request)는 기본으로 체크되어 캡처가 되지만

받는 부분(Response)는 기본으로 체크되지 않아 캡처가 되지 않아 체크해야 합니다.

• 옵션에서 Add를 눌러 다음과 같이 설정하면 해당 도메인만 선택적으로 볼 수 있도록 필터링해준다. (도메인, 프로토콜, ip 등 다양하게 적용해서 제어가능)

요청과 응답 메시지의 접속 기록을 시간 순으로 정렬

- Intercept 기능이 꺼져있더라도 HTTP history 항목에는 계속 기록이 남는다.

• Proxy ➔ HTTP history

• Proxy ➔ Intercept ➔ Header or Hex

Response 에는 headers에서 다양한 정보 얻을 수 있고 hex값에서 값을 수정할 수 있다. 수정하면 바로 반영 가능하다.

테스트환경 소개와 범위 설정

1. 가상환경(Vmare, virtual machine ..)
2. 파일 형태로 동작
3. 테스트 환경 서비스

범위(Scope)를 설정한 뒤에 원하는 사이트만 정보를 제어하자

범위(Scope) 프록시 패킷을 잡고 싶은 도메인 등록

➔ 프록시 범위에 등록된 사이트만 인터럽트

➔ 요청 및 응답을 모두 설정

네이버, 다음, 유튜브 scope add

• include in scope = 패킷 포함
• exclue from scope = 패킷 제외

• Intercept requests based on the following rules: Master interception is turned off 체크

• Intercept respones based on the following rules: Master interception is turned off 체크

기본적으로 버프스위트에서 설정되어 있다.

• And is in target scope 체크

스파이더(Spider)기능

디렉터리 구조 파악

spider = 디렉터리, 일부 파일들 파악

페이지 내(HTML) - 접근 ➔  상태코드(2xx, 3xx, 500xx...)

 

디스커버 - 사전파일을 가지고 무작위(버프스위트에서는 지원✘)

➔ OWASP ZAP(OWSP 오픈소스 취약점 분석 도구)

 

ex)demo.tesetfire.net(모의해킹 사이트)로 접근

포트 설정

scope 설정

+ scope 설정 추가로 해야합니다.

• Spider this host

• Spider가 실행 중일 경우 "Spider is runnung"이라고 뜬다.

사용자가 입력은 확인하라는 창이 뜬다.

 

비 로그인/로그인 인증 페이지 2개를 점검한다.

• 비 로그인 인증 페이지
• 로그인 인증 페이지
  • 게시물 입력 가능
  • 정보 수정
  • 입금/출금
  • 계좌조회

Compare site maps로 비교 가능하다.

 

url로 입력해도 된다.

• Show response in  browser ➔  copy

지정한 응답을 브라우저에 표시 ➔ 지정한 요청의 URL을 클립보드에 복사

스파이더(Spider)기능 옵션 살펴보기

• Spider ➔ Option

1. Crawler Settings

- 웹 콘텐츠를 크롤링하는 방법을 제어한다. 대상 사이트에 robots.txt가 있는지, 에러페이지를 감지 할지, 텍스트가 아닌 콘텐츠는 허용할지 등의 옵션을 지정할 수 있다.

 

2. Passive Spidering

-  이 옵션을 체크하면 추가 요청 없이 방문하는 사이트의 기본적인 구조를 확인할 수 있고, 방문하는 페이지의 모든 링크를 표시한다. 이 옵션이 체크가 안되어 있다면 사용자가 현재 방문하여 요청한 페이지만 확인할 수 있다.

 

3. From Submission

- Submit Form 창이 나올 경우 어떻게 처리할 것인지 옵션을 설정할수 있는 부분입니다.

 

4. Application Login

- Spider 중에 로그인 폼을 발견하면 어떻게 처리할 것인지 옵셕을 지정할수 있는 부분입니다.

 

5. Spider Engine

- 크롤링 작업을 수항할 때 만들어지는 HTTP 요청을 제어하는 옵션입니다. 예를 들어 네트워크 실패시 재시도 획수, 요청 실패시 대기 시간 등을 설정 할수 있는 옵션 입니다. 과도한 설정은 대상 서버에 영향을 줄수 있으니 주의하시기 바랍니다.

 

6. Request Headers

- Spider에서 HTTP 요청시 사용하는 헤더 값을 설정할 수 있습니다.

반복수행(Repeater) 기능 옵션 살펴보기

• Repeater
  • 수동 제어 및 HTTP 요청을 재요청하고 애플리케이션 응답을 분석해 주는 도구다. 취약점 진단을 위한 입력 매개변수 조작, 요청, 재발생 등 다양한 목적으로 Repeater를 활용할 수 있다.

Add to scope

Show only in-scope items

 

Tool에서 오른쪽 클릭 후 "Send to Repeater" 클릭하면 Repeater 메뉴로 해당 패킷이 전송된다.
이미 요청이된 메일 이후에서도 재전송이 가능하다.

 

password 제대로 입력한 경우

 

Render로 정상적으로 로그인된 것을 확인한다.

 

ex)실제 사이트 로그인

상단의 [GO] 버튼을 클릭하여 요청 메시지를 대상 서버에 재전송한다. 요청에 대한 응답은 오른쪽 HTTP 에디터에 어느정도 분석 되어 같이 표시된다. [<], [>] 버튼을 클릭하면 사용자에 의해 재요청된 내역이 목록으로 표시 된다. 내역 중 하나를 클릭하면 해당 요청과 응답 내용을 함께 출력한다.

자동진단(Intruder)기능 이해 및 활용

Intruder는 웹 애플리케이션을 대상으로 사용자 정의 공격을 자동화하여 수행하는 도구이다.

 

 

출처: 인프런 웹 서비스 해킹을 위한 버프스위트 완벽 활용 가이드