버프 스위트

버프 스위트(Burp Suite)는 웹 애플리케이션의 보안 평가 및 침투 테스트를 위한 독점 소프트웨어 도구이다. 셀레늄과 같이 자동화 가능한 웹 도구의 기능을 깨달은 후, 2003년부터 2006년까지 다피드 스터타르드(Dafydd Stuttard)가 자신의 보안 테스트 요구 사항을 자동화하기 위해 처음 개발했다. 스터타르드는 버프 스위트의 개발을 선도하기 위해 PortSwigger라는 회사를 설립했다. 이 제품은 커뮤니티, 프로페셔널, 엔터프라이즈 버전으로 제공된다.

이 스위트의 주목할 만한 기능으로는 웹 크롤링을 프록시하는 기능(Burp Proxy), HTTP 요청/응답을 기록하는 기능(Burp Logger 및 HTTP History), 전송 중인 HTTP 요청을 캡처/가로채는 기능(Burp Intercept), 그리고 취약점을 나타내는 보고서를 취합하는 기능(Burp Scanner)이 있다. 이 소프트웨어는 캡처된 HTTP 요청/응답 내에서 검색하기 위해 알려진 안전하지 않은 구문 패턴과 키워드를 포함하는 내장 데이터베이스를 사용한다.

버프 스위트는 여러 침투 유형 기능을 가지고 있다. 몇 가지 내장된 PoC 서비스에는 HTTP 다운그레이드 테스트, 도구가 호스팅하는 외부 샌드박스 서버와의 상호 작용(Burp Collaborator), 그리고 의사 난수화 강도 분석(Burp Sequencer)이 포함된다. 이 도구는 오픈 소스 플러그인(예: Java Deserialization Scanner 및 Autorize) 다운로드를 통해 사용자 정의 기능을 통합할 수 있다.

 기능 
웹 보안 분석기로서 버프 스위트는 테스터가 웹 애플리케이션을 감사하는 데 도움이 되도록 설계된 여러 내장 기능을 제공한다.
 커뮤니티 에디션 
섬네일|187x187px|BurpSuite 커뮤니티 에디션
버프 스위트의 커뮤니티 에디션 버전에는 다음 기능이 포함되어 있다.
 Burp Proxy 및 Interceptor: 다른 웹 애플리케이션 보안 스캐너와 마찬가지로 버프 스위트의 주요 기능 중 하나는 클라이언트 측 HTTP 요청을 위한 프록시 서버 역할을 하는 기능이다. 침투 테스터는 웹 서버의 기본 HTTP 요청 변수(속성, 본문 매개변수, 쿠키, 헤더)를 실시간으로 가로채고 이 값을 즉석에서 편집할 수 있다.
 Burp Site Map: BurpSuite는 OWASP ZAP 소프트웨어와 유사하게 작동하며, 대상 URL의 사이트 맵을 자동 또는 수동 웹 크롤링을 통해 캡처할 수 있다. 사용자가 웹 애플리케이션을 크롤링하면 HTTP 요청이 버프 스위트 소프트웨어의 웹 프록시로 전송된다. HTTP 요청/응답이 캡처되면 이 엔드포인트를 수동으로 조사하거나 Burp Suite Professional 에디션의 기능을 통해 자동으로 감사할 수 있다.
 Burp Logger 및 HTTP History: 웹 크롤링(및 Professional 에디션의 자동 스캐닝) 중에 캡처된 HTTP 요청/응답 목록을 보관한다.
 Burp Repeater: 캡처된 HTTP 요청을 반복하여 요청 변수에 대한 사용자 정의 변경을 허용한다. 사용자 정의된 HTTP 요청은 빠르게 연속으로 전송될 수 있으며, 경쟁 조건 취약점을 악용하는 데 사용될 수 있다.
 Burp Decoder: 텍스트 디코딩을 자동화한다. 디코딩된 텍스트는 편집 후 재인코딩할 수 있어 웹 요청에서 사용자 정의를 강화할 수 있다. 현재 Burp는 HTML, URL, 베이스64, ASCII 십육진법, 16진법, 팔진법, 2진법, Gzip으로 인코딩 및 디코딩할 수 있다. Burp의 "스마트 디코딩"은 인코딩된 데이터를 자동으로 감지하고 가능한 한 재귀적으로 디코딩한다.
 Burp Sequencer: 의사 난수 예측 강도를 결정하기 위해 반복된 HTTP 요청에서 애플리케이션 생성 토큰 변수를 분석한다.
 Burp Comparer: 사용자가 두 개의 다른 HTTP 요청 또는 HTTP 응답 간에 발견된 내용을 비교할 수 있도록 한다.
 Burp Extender: 아래의 Burp Extender 섹션을 참조하십시오. 특정 버프 스위트 플러그인은 Professional 에디션과만 상호 작용하도록 제한된다.
 Professional 에디션 
버프 스위트의 Professional 에디션에는 아래에 나열된 기능 외에 모든 커뮤니티 기능이 포함되어 있다.
 Burp Scanner: HTTP 캡처 요청/응답에 대한 보고서 감사 및 웹 크롤링을 자동화한다. 가로챈 HTTP 응답의 내용을 감사하여 취약한 응답 값을 검색하는 내부 규칙을 사용한다. 사용자가 스캐너 속도 및 발견 범위룰 사용자 정의할 수 있도록 한다.
 Burp Dashboard: 발견 결과를 표시하고 심각도에 따라 문제를 분류한다. 발견 유형에 따라 자세한 설명과 해결 단계가 제공될 수 있다.
 Burp Intruder: 더 넓은 범위의 Burp Repeater와 유사하게, 사용자가 지정된 요청 변수를 변경하여 여러 병렬 HTTP 요청을 보낼 수 있도록 한다.
 Burp Collaborator: 외부 서비스 상호 작용 및 Out-of-Band 공격을 시도하기 위해 C2 서버 호스팅을 시뮬레이션한다.
 Burp Organizer: 사용자가 선택한 HTTP 요청/응답을 저장된 컬렉션으로 정리할 수 있도록 한다.
 Burp Infiltrator: Burp Collaborator 기능을 통해 대화형/런타임 스캐닝을 자동화하고 결과를 통신하도록 스크립트된 IAST 에이전트이다.
 Burp Clickbandit: 웹 애플리케이션의 프런트 엔드 HTML 및 JavaScript 파일에 대한 클릭재킹 공격을 테스트하기 위한 개념 증명 도구이다.
 파일 저장: Professional 에디션은 사용자가 프로젝트를 ".burp" 파일로 저장할 수 있도록 한다.
 Burp Extender 
버프 스위트는 사용자가 기본적으로 지원되지 않는 기능을 위한 플러그인을 업로드하고 다운로드할 수 있는 확장 스토어를 제공한다. 다양한 플러그인은 UI 가독성 조정, 스캐너 규칙 추가, 새로운 분석 기반 기능 구현 등 기능이 다르다.

버프 스위트의 확장 API는 오픈 소스이다. Java 플러그인은 기본적으로 지원되며, Python 및 Ruby를 사용하는 확장은 각각 Jython 및 JRuby용 JAR 파일을 다운로드해야 한다.

많은 Burp 플러그인은 Portswigger 직원에 의해 회사에서 수행한 연구의 개념 증명을 개발하는 수단으로 만들어지기도 했다. 여기에는 Portswigger 연구 이사인 James Kettle이 만든 Backslash Powered Scanner, Param Miner, 및 HTTP Request Smuggler와 같은 확장이 포함된다.
 BChecks 
BChecks는 2023년 6월 버프 스위트에 추가되어 사용자가 자신만의 스캐너 규칙을 생성하고 사용자 정의할 수 있도록 한다. BChecks의 선별된 컬렉션은 오픈 소스 깃허브 프로젝트를 통해 Portswigger가 관리한다.
 Bambdas 
사용자는 버프 스위트의 프록시 HTTP 기록, WebSocket 기록 및 로거 목록에서 사용자 지정 HTTP 요청/응답 색인 필터링을 생성하기 위해 Java 스크립트를 작성할 수 있다.
 같이 보기 
 애플리케이션 보안
 동적 애플리케이션 보안 테스트 (DAST)
 취약점 평가 (컴퓨팅)
 정보 기술 보안 평가
 ZAP
 웹 크롤러
 웹 프록시 서버

 각주 

 외부 링크 


분류:자바 플랫폼 소프트웨어
분류:자유 보안 소프트웨어
분류:보안 소프트웨어