버프 스위트

AsOf = **버프 스위트**(Burp Suite)는 웹 애플리케이션의 보안 평가 및 침투 테스트를 위한 독점 소프트웨어 도구이다.isbn=978-1-4842-6401-0isbn=9781788995283 셀레늄과 같이 자동화 가능한 웹 도구의 기능을 깨달은 후, 2003년부터 2006년까지 다피드 스터타르드(Dafydd Stuttard)website=PortSwigger가 자신의 보안 테스트 요구 사항을 자동화하기 위해 처음 개발했다.date=9 July 2020 스터타르드는 버프 스위트의 개발을 선도하기 위해 PortSwigger라는 회사를 설립했다. 이 제품은 커뮤니티, 프로페셔널, 엔터프라이즈 버전으로 제공된다. 이 스위트의 주목할 만한 기능으로는 웹 크롤링을 프록시하는 기능(Burp Proxy),date=21 April 2023 HTTP 요청/응답을 기록하는 기능(Burp Logger 및 HTTP History), 전송 중인 HTTP 요청을 캡처/가로채는 기능(Burp Intercept),date=6 December 2017 그리고 취약점을 나타내는 보고서를 취합하는 기능(Burp Scanner)이 있다.website=GreatHeart 이 소프트웨어는 캡처된 HTTP 요청/응답 내에서 검색하기 위해 알려진 안전하지 않은 구문 패턴과 키워드를 포함하는 내장 데이터베이스를 사용한다.website=PortSwigger 버프 스위트는 여러 침투 유형 기능을 가지고 있다. 몇 가지 내장된 PoC 서비스에는 HTTP 다운그레이드 테스트,website=PortSwigger 도구가 호스팅하는 외부 샌드박스 서버와의 상호 작용(Burp Collaborator),website=PortSwigger 그리고 의사 난수화 강도 분석(Burp Sequencer)이 포함된다.website=PortSwigger 이 도구는 오픈 소스 플러그인(예: Java Deserialization Scannerwebsite=GitHub 및 Autorizewebsite=GitHub) 다운로드를 통해 사용자 정의 기능을 통합할 수 있다.
# 기능
웹 보안 분석기로서 버프 스위트는 테스터가 웹 애플리케이션을 감사하는 데 도움이 되도록 설계된 여러 내장 기능을 제공한다.
## 커뮤니티 에디션
BurpSuite 커뮤니티 에디션 버프 스위트의 커뮤니티 에디션 버전에는 다음 기능이 포함되어 있다.website=portswigger.net * **Burp Proxy 및 Interceptor**: 다른 웹 애플리케이션 보안 스캐너와 마찬가지로 버프 스위트의 주요 기능 중 하나는 클라이언트 측 HTTP 요청을 위한 프록시 서버 역할을 하는 기능이다.website=PortSwigger 침투 테스터는 웹 서버의 기본 HTTP 요청 변수(속성, 본문 매개변수, 쿠키, 헤더)를 실시간으로 가로채고 이 값을 즉석에서 편집할 수 있다.date=9 February 2018 * **Burp Site Map**: BurpSuite는 OWASP ZAP 소프트웨어와 유사하게 작동하며, 대상 URL의 사이트 맵을 자동 또는 수동 웹 크롤링을 통해 캡처할 수 있다.website=PortSwigger 사용자가 웹 애플리케이션을 크롤링하면 HTTP 요청이 버프 스위트 소프트웨어의 웹 프록시로 전송된다. HTTP 요청/응답이 캡처되면 이 엔드포인트를 수동으로 조사하거나 Burp Suite Professional 에디션의 기능을 통해 자동으로 감사할 수 있다. * **Burp Logger 및 HTTP History**: 웹 크롤링(및 Professional 에디션의 자동 스캐닝) 중에 캡처된 HTTP 요청/응답 목록을 보관한다.date=11 January 2023website=Study Tonight * **Burp Repeater**: 캡처된 HTTP 요청을 반복하여 요청 변수에 대한 사용자 정의 변경을 허용한다.website=TryHackMe 사용자 정의된 HTTP 요청은 빠르게 연속으로 전송될 수 있으며, 경쟁 조건 취약점을 악용하는 데 사용될 수 있다.website=PortSwigger * **Burp Decoder**: 텍스트 디코딩을 자동화한다.date=24 January 2018 디코딩된 텍스트는 편집 후 재인코딩할 수 있어 웹 요청에서 사용자 정의를 강화할 수 있다. 현재 Burp는 HTML, URL, 베이스64, ASCII 십육진법, 16진법, 팔진법, 2진법, Gzip으로 인코딩 및 디코딩할 수 있다. Burp의 "스마트 디코딩"은 인코딩된 데이터를 자동으로 감지하고 가능한 한 재귀적으로 디코딩한다.website=PortSwigger * **Burp Sequencer**: 의사 난수 예측 강도를 결정하기 위해 반복된 HTTP 요청에서 애플리케이션 생성 토큰 변수를 분석한다. * **Burp Comparer**: 사용자가 두 개의 다른 HTTP 요청 또는 HTTP 응답 간에 발견된 내용을 비교할 수 있도록 한다.date=9 April 2024 * **Burp Extender**: 아래의 Burp Extender 섹션을 참조하십시오. 특정 버프 스위트 플러그인은 Professional 에디션과만 상호 작용하도록 제한된다.website=PortSwigger
## Professional 에디션
버프 스위트의 Professional 에디션에는 아래에 나열된 기능 외에 모든 커뮤니티 기능이 포함되어 있다. * **Burp Scanner**: HTTP 캡처 요청/응답에 대한 보고서 감사 및 웹 크롤링을 자동화한다. 가로챈 HTTP 응답의 내용을 감사하여 취약한 응답 값을 검색하는 내부 규칙을 사용한다. 사용자가 스캐너 속도 및 발견 범위룰 사용자 정의할 수 있도록 한다. * **Burp Dashboard**: 발견 결과를 표시하고 심각도에 따라 문제를 분류한다.website=PortSwigger 발견 유형에 따라 자세한 설명과 해결 단계가 제공될 수 있다.website=PortSwigger * **Burp Intruder**: 더 넓은 범위의 Burp Repeater와 유사하게, 사용자가 지정된 요청 변수를 변경하여 여러 병렬 HTTP 요청을 보낼 수 있도록 한다.date=31 October 2023 * **Burp Collaborator**: 외부 서비스 상호 작용 및 Out-of-Band 공격을 시도하기 위해 C2 서버 호스팅을 시뮬레이션한다.website=PortSwigger * **Burp Organizer**: 사용자가 선택한 HTTP 요청/응답을 저장된 컬렉션으로 정리할 수 있도록 한다.website=PortSwigger * **Burp Infiltrator**: Burp Collaborator 기능을 통해 대화형/런타임 스캐닝을 자동화하고 결과를 통신하도록 스크립트된 IAST 에이전트이다.website=PortSwigger * **Burp Clickbandit**: 웹 애플리케이션의 프런트 엔드 HTML 및 JavaScript 파일에 대한 클릭재킹 공격을 테스트하기 위한 개념 증명 도구이다.website=Teachable * 파일 저장: Professional 에디션은 사용자가 프로젝트를 ".burp" 파일로 저장할 수 있도록 한다.website=PortSwigger
## Burp Extender
버프 스위트는 사용자가 기본적으로 지원되지 않는 기능을 위한 플러그인을 업로드하고 다운로드할 수 있는 확장 스토어website=PortSwigger를 제공한다. 다양한 플러그인은 UI 가독성 조정, 스캐너 규칙 추가, 새로운 분석 기반 기능 구현 등 기능이 다르다. 버프 스위트의 확장 API는 오픈 소스이다.website=PortSwiggerwebsite=GitHub Java 플러그인은 기본적으로 지원되며, Python 및 Ruby를 사용하는 확장은 각각 Jython 및 JRuby용 JAR 파일을 다운로드해야 한다.website=Medium 많은 Burp 플러그인은 Portswigger 직원에 의해 회사에서 수행한 연구의 개념 증명을 개발하는 수단으로 만들어지기도 했다.website=PortSwigger 여기에는 Portswigger 연구 이사인 James Kettlewebsite=PortSwigger이 만든 Backslash Powered Scanner,website=GitHubwebsite=PortSwigger Research Param Miner,website=GitHubwebsite=PortSwigger Research 및 HTTP Request Smugglerwebsite=GitHubwebsite=PortSwigger Research와 같은 확장이 포함된다.
### BChecks
BChecks는 2023년 6월 버프 스위트에 추가되어website=PortSwigger 사용자가 자신만의 스캐너 규칙을 생성하고 사용자 정의할 수 있도록 한다.website=YesWeHack BChecks의 선별된 컬렉션은 오픈 소스 깃허브 프로젝트를 통해 Portswigger가 관리한다.website=GitHub
### Bambdas
사용자는 버프 스위트의 프록시 HTTP 기록, WebSocket 기록 및 로거 목록에서 사용자 지정 HTTP 요청/응답 색인 필터링을 생성하기 위해 Java 스크립트를 작성할 수 있다.website=PortSwiggerwebsite=GitHub