Burp Suite — 웹 요청 가로채기·수동 테스트의 중심

ATT&CK: T1190 Exploit Public-Facing Application · Initial Access (TA0001)

Burp Suite(PortSwigger)는 웹 테스트의 공용 어어 역할. 혼자서 모든 걸 하는 도구라기보다, 다른 자동화 도구(sqlmap, ffuf, nuclei 등)에 요청을 재사용할 수 있는 포맷으로 캡처·편집하는 허브.

1. 핵심 모듈

2. 초기 세팅

2.1 CA 인증서 설치

HTTPS 가로채기하려면 Burp가 발급하는 CA를 브라우저에 신뢰 추가:

http://burpsuite  (Burp 프록시 작동 중)
→ CA Certificate 다운로드 → OS/브라우저 trusted store에 추가

2.2 Scope 설정

Target → Scope → Include in scope에 테스트 대상 호스트만 등록. 이후 “In-scope only” 필터로 노이즈 제거.

3. 흔한 워크플로우

3.1 요청 캡처 → Repeater

Proxy History에서 흥미로운 요청 → 우클릭 → Send to Repeater. Repeater에서 파라미터 바꿔가며 응답 비교.

3.2 요청을 파일로 → 다른 도구로

Repeater 또는 Proxy에서 요청 우클릭 → Copy to file. sqlmap/nuclei/ffuf에 그대로 넘김:

sqlmap -r request.txt --batch
nuclei -r request.txt -t cves/

3.3 Intruder — Sniper

파라미터 자리에 § 마커 → Payloads 탭에 리스트 → Start Attack. Position/payload set 조합 중 Sniper(단일 자리 반복)이 가장 자주 쓰임.

Pro가 아니면 Intruder가 심하게 throttle됨 — Community에선 ffuf로 대체하는 게 실용적.

4. 유용한 Extensions (무료 포함)

• Logger++: 모든 요청/응답을 테이블 형태로 집계·검색.
• Autorize: 세션 교차 접근 테스트 (A 세션으로 B 데이터 접근 가능한가).
• Hackvertor: tag 기반 encoding/decoding 체인.
• Turbo Intruder: 고속 fuzzing (Jython).
• Param Miner: 숨겨진 파라미터 열거 (header/body).

5. Repeater 생산성 팁

• Ctrl+Space → 자동완성.
• Request 패널 우클릭 → Change request method / Change body encoding.
• 응답 패널의 “Render” 탭으로 HTML 미리보기.
• 응답 상태 코드·길이 변화를 즉시 보기 위해 Repeater 창을 옆에 2개 열어 diff처럼 사용.

6. Collaborator / OAST

Blind 취약점(blind SSRF, blind XXE, out-of-band DNS)을 잡으려면 외부 콜백이 필요하다. Burp Pro는 Collaborator를 기본 포함, Community는 공개된 interactsh 또는 Collaborator 서버 self-host 필요.

7. 다른 도구와의 역할 분담

Burp는 “수동 분석 + 캡처"에 집중하고 자동 처리는 전문 도구에 위임하는 게 효율적.

8. OPSEC

• WAF 쪽에선 “브라우저 UA + 비정상적 payload” 조합을 쉽게 분류. Repeater 수동 테스트도 몇 분 안에 로그에 쌓임.
• 테스트 범위 밖 호스트에 요청 안 가도록 Scope 설정 필수. 실수로 다른 도메인 건드리면 분쟁 사유.
• Burp 사용 자체는 합법이지만, 트래픽을 보내는 대상에 대한 명시적 허가 필수.

참고

• PortSwigger Burp Suite
• Web Security Academy (무료 랩)
• MITRE ATT&CK — T1190