Burp Suite

Burp Suite(버프 스위트)는 브라우저와 웹 애플리케이션 사이에 프록시로 끼어 HTTP·HTTPS 요청과 응답을 가로채고 고쳐 보내며 웹 취약점을 점검하는 포트스위거(PortSwigger)의 웹 보안 진단 도구 모음이다.

개요

웹 취약점 진단은 대부분 "브라우저가 보내는 요청을 사람이 손으로 바꿔 보내 보고 서버가 어떻게 반응하는지 본다"에서 시작한다. Burp Suite 의 핵심인 Burp Proxy 는 브라우저와 대상 애플리케이션 사이에서 웹 프록시 서버로 동작하며, 오가는 트래픽을 양방향으로 가로채 살펴보고 수정하게 해 준다. HTTPS 도 자체 인증서로 중간에서 풀어 볼 수 있다. 가로챈 요청은 Repeater(요청을 고쳐 반복 전송), Intruder(값을 바꿔 가며 자동 대입), Scanner(자동 취약점 스캔) 같은 다른 도구로 넘겨 이어서 분석한다. 무료 Community Edition 과 자동 스캐너가 들어간 Professional 판이 있다.

이런 '가로채는 프록시'(intercepting proxy) 방식은 SQL 삽입, XSS, 인증·세션 결함, 매개변수 변조처럼 요청 값을 조작해 찾는 웹 애플리케이션 취약점 진단의 기본 도구이다.

같은 계열의 웹 프록시 도구

도구	만든 곳	특징
Burp Suite	PortSwigger	프록시·Repeater·Intruder·Scanner 를 묶은 상용·무료 도구
Paros	공개 프로젝트(SourceForge)	자바로 만든 HTTP/HTTPS 프록시. 메시지를 실시간으로 보고 고치며, 스파이더와 XSS·SQL 삽입 자동 점검 기능이 있었다. 마지막 갱신이 2013년이다
WebScarab	OWASP	순수 자바로 만든 웹 애플리케이션 보안 점검 프레임워크. 프록시로 요청을 가로채 자동·수동으로 분석한다
ZAP(Zed Attack Proxy)	OWASP 에서 시작, 지금은 독립 프로젝트	Paros 를 갈라져 나온(fork) 무료 도구. 브라우저와 애플리케이션 사이의 중간자 프록시로 메시지를 가로채 고친다

다른 보안 도구와 구별하기

웹 프록시 도구는 웹 애플리케이션의 요청·응답을 다룬다. 이름이 함께 오르내리는 다른 도구는 목적이 다르다.

도구	분류	하는 일
Burp Suite, Paros, WebScarab, ZAP	웹 취약점 진단(웹 프록시)	HTTP 요청을 가로채 고쳐 보내며 웹 애플리케이션 취약점 점검
THC Hydra	온라인 비밀번호 크래킹	SSH·FTP·HTTP 로그인 등에 아이디·비밀번호를 병렬로 대입
John the Ripper	오프라인 비밀번호 크래킹	빼낸 비밀번호 해시에 후보를 대입
Nmap	포트 스캐너	열린 포트와 서비스 확인
OpenVAS	취약점 스캐너	호스트·서비스의 알려진 취약점 점검
와이어샤크	패킷 분석기	네트워크 패킷을 캡처해 프로토콜별로 분석

같이 보기

• OWASP
• SQL 인젝션
• THC Hydra
• OpenVAS