본문 바로가기
Security/Web

웹 프락시 도구 사용-Burp Suite, Paros

by 비니화이팅 2018. 1. 16.

* 프록시 (Proxy)

1. 해커가 역 추적을 피하기 위해 사용

2. 보안통제를 뚫을 때 사용

3. 캐시를 사용하여 접근을 빠르게 하고 싶을 때 사용

4. 들어오는 콘텐츠를 검사할 때 사용


- 프록시 툴을 사용하면 넘어 가는 패킷을 직접 제어(변조)하는 것이 가능하다.


-> burpsuite, paros 설치하기 전 먼저jre가 설치돼있어야 한다. 

(burpsuite는 https://portswigger.net/burp/communitydownload<-여기서 다운로드 가능하다.)

-> 실습 전 프록시 서버 설정을 해준다.

     Explorer- 도구 - 인터넷 옵션 - 연결 - LAN 설정 - 프록시 서버 체크 후 주소 : 127.0.0.1, 포트 : 8080으로 입력

    (프록시 서버는 8080포트를 기본으로 사용)


[실습 1 - Burp Suite 기본 사용법]

-> 실습 환경 : Windows XP

-> 사용 도구 : burpsuite


- Burp Suite을 실행한다.

  Proxy-Intercept에서 Intercept is on이 선택돼있는지 확인한다.


- Options 탭에서 다음과 같이 Intercept Client Requests에서 Intercept requests based on the following rules를 체크한다.

- 다음과 같이 체크하면 Request패킷을 볼 수 있다.


- 다음과 같이 Intercept Client Responses에서 Intercept responses based on the following rules를 체크한다.

- 다음과 같이 체크하면 Response패킷을 볼 수 있다.


- 웹 서버로 접속을 시도한다.

  현재 패킷을 잡고 있는 상태이므로 웹 브라우저에서는 확인이 안된다.

  Burp Suite에서 요청패킷을 볼 수 있다.


- 이 상태에서 Forword나 Drop을 눌러서 실습을 진행하면 된다.



[실습 2 - Paros를 이용한 데이터 변조]

-> 실습 환경 : Windows XP

-> 사용 도구 : Paros


- Paros를 실행한다.

  Trap 탭에서 Trap request, Trap response를 체크해준다. (Burpsuite에서 Intercept와 같은 기능이다.)

- ID와 Password에 test라고 적은 후 Log in버튼을 누른다.


- 아이디와 비밀번호를 각각 존재하지 않는 test로 입력 하고 로그인을 누른다.


- Paros에서 확인하면 ID와 Password가 그대로 보인다.


- 이것을 실제로 존재하는 ID와 Password로 바꾼 후 Continue버튼을 누른다.


- 웹 브라우저에서 확인하면 로그인이 성공한 것을 확인할 수 있다.

 


[실습 3 - Paros를 이용한 데이터 변조]

- 이번에는 filter기능으로 데이터를 변조해본다.


- tool-Filter-replace - Replace HTTP response body using defined pattern에 체크 후 옆에 ...버튼을 눌러서 패턴을 추가해준다.

- 나는 사과를 바나나로 바꿔보겠다.


- 검색 엔진에서 사과를 검색하면 바나나로 바뀌어져 보인다.

- 이런식으로 하면 사진도 바뀌어져 보일 수 있게 할 수 있다.



[실습 4 - Paros을 이용한 정보 수집]

- http://10.10.10.20 우클릭 - Spider - Start 클릭한다.

- Spider는 여러가지 정보(해당 서버의 전체적인 구조)를 수집하는 기능을 한다.

- 그러면 다음과 같이 수집된 정보 폴더가 뜬다.


- 실제 서버의 폴더 내용과 같은지 비교해보면 거의 유사한 것을 확인할 수 있다.

 

[실습 5 - Paros을 이용한 Encode/Decode]

Tools-Encode/Hash에서 인코딩, 디코딩을 할 수 있다.

 

 


댓글0