웹 해커의 도구들 - 브라우저, Burp Suite, 취약점 스캐너

01 웹 브라우저

 

인터넷 익스플로러, 크롬, 파이어폭스 등의 브라우저들이 개발자 도구를 제공한다. 개발자 도구는 웹 사이트의 페이지 레이아웃, HTML, CSS 코드를 브라우저에서 간편하게 열어 검토할 수 있게 해준다. 개발자 도구를 통해 웹 어플리케이션의 구조를 쉽게 파악할 수 있으며, 쿠키값을 보거나 데이터를 변조하는 공격을 할 때 유용하게 쓰인다.

 

 

02 Burp Suite

 

Burp Suite는 기본적은 기능인 웹 프록시 외에도 다른 기능들을 제공한다.

 

1. Target 기능

탐색한 사이트에 대한 정보를 확인할 수 있다. 웹 사이트의 구조를 분석할때 유용하게 쓰인다.

사이트를 탐색하다 보면 target 메뉴에 사이트의 구조가 나타난다.

(Burp Suite는 구조를 분석할때 해당 페이지에 포함된 링크 사이트까지 조사하기 때문에 눈으로 방문한 페이지 외에도 링크가 외어 있는 페이지와 사이트들까지 모두 분석할 수 있다.)

 

2.  Spider 기능

Spider 기능을 실행하려면 target 탭에서 원하는 호스트를 선택한 후 마우스 오른쪽 버튼을 클릭해서 ‘spider this host’를 선택하면 된다. spider 기능은 웹 사이트에서 수작업으로 확인되지 않은 페이지들까지 자동으로 접속하는 기능이다. 디렉터리와 페이지들을 자동으로 방문하여 추가적인 정보를 수집한다. 이 기능을 사용하면 짧은 시간안에 매우 많은 사이트를 접속해서 정보를 수집하기 때문에 주의해서 사용해야한다.

만약 입력값이 있어야 접근할 수 있는 페이지를 접하면 해당 값들을 입력할 수 있는 창이 뜬다.

 

3. Intruder 기능

이 기능은 변수값을 받아서 처리하는 페이지가 있는 경우 공격자가 수작업으로 일일이 확인하지 않아도 해당 웹 페이지에 전달되는 변수 값을 자동으로 생성하여 전달하도록 규칙을 만들어서 해당 페이지를 계속 탐색하는 기능이다.

(brute force 할때 편리하다)

Intruder 탭의 하위에는 target, positions, payloads, options 탭이 있다.

target - 공격대상을 정하는 화면

positions - 어떤 변수 값을 조작할껀지 정의하는 화면

payloads - 변수 값의 종류와 범위를 선택

 

4. Repeater

특정 요청을 자기 전송하는 간단한 기능. 특정 패킷을 직접 작성해서 이 기능을 사용하는 경우도 있지만 target과 proxy 기능에서 해당 패킷을 repeater로 보내는 경우도 있다. (target에서 오른쪽 클릭하고 ‘send to repeater’를 선택하면  repeater로 해당 요청이 전달된다.)

 

03 웹 취약점 스캐너

 

웹 취약점 스캐너는 웹 어플리케이션에 존재하는 취약점을 자동으로 수집하여 1차로 분석한 후 해당 취약접에 대한 결과를 사용자가 보기 편한 방법으로 보고해 주는 도구다.

과거에는 취약점 데이터베이스 내에 있는 패턴 위주로 취약점의 유무를 확인하는 경우가 많았는데, 최근에는 데이터베이스에 포함된 패턴 뿐만 아니라 OWASP Top 10에서 언급하고 있는 대부분의 웹 어플리케이션 취약점을 검사할 수 있는 종합 웹 취약점 스캐너가 사용되고 있다.

 

웹 취약점 스캐너의 3가지 유형:

 

1. DB 기반 웹 스캐너

웹 취약점 패턴이 있는 데이터베이스의 내용을 하나씩 대입해보고 200 OK 응답을 받으면 해당 취약점이 존재하는것으로 보고하는 형태. eg. Nikto, N-Stealth(지금은 N-Stalker)

 

2. 특정 웹 취약점(SQL injection) 스캐너

SQL injection이 존재하는지 확인하고 존재할 경우 데이터베이스의 종류에 따라 특정 쿼리문을 실행하여 데이터베이스의 정보와 테이블 정보를 가져온다. 이런식으로 공격을 자동으로 실행하는 다양한 툴들이있다.

eg. Absinthe, Havij

 

3. 종합 웹 취약점 스캐너

Nikto와 같이 데이터베이스를 기반으로 동작하며 웹 사이트 구조를 분석한 후 페이지마다 취약점이 존재하는지 종합적으로 분석하는 스캐너다.

eg. Acunetix, AppScan