웹 취약점 진단 Proxy Tool

Tool

• Paros(EOS 됨)
• Fiddler(System Proxy) 
• Burp(서버 프록시) 내가 서버를 설정해줘서 이 서버를 통해서만 버프가 작동할 수 있게 함

 

왜 Burp를 쓰느냐?

• 유료버전(Pro), 커뮤니티버전 있음
• 자동진단툴도 제공하고..

Burp 커뮤니티 버전 특징

• 원하는 것에 대해서만 프록시를 걸고 진단할 수 있다. 
• 리플레이스랑 파인드 기능이 있다. 내가 원하는 기능을 찾는다거나 변경할 수 있음 
• 자동화 공격을 할 때 쓰는건데 내가 원하는 곳에 달러값을 주어가지고 그 안에 값을 리스트를 만들어 넣을 수 있다. 
• 꼭 결과를 보지 않아도 리플레이스를 볼 수 있다.
• 내가 원하는 리퀘스트, 리스폰스를 하나하나 그때그때 볼수 있다. 
• 인코딩, 디코딩을 알아서 해준다
• comparer기능 있음(이기능을 사용하면, 리스폰스가 되게 길때 리스폰스가 제대로 오는건지 안오는건지 확인하기 위해서 세션에 대해서 고정되어있는지 아닌지 확인하게 위해서 일단 컴페어러에 다 붙여놓고 워드단위 바이트단위 비교해서 무엇이 잘못됐는지 확인 할 수있음)