피드로 돌아가기
Dev.toSecurity
원문 읽기
HTTP 트래픽 분석 및 자동화 기반의 체계적 취약점 분석 워크플로우 구축
Burp Suite for HTB & CTF Players: Complete Guide (2026)
AI 요약
Context
단순 추측 기반의 Web Challenge 접근 방식은 분석 효율성이 낮고 재현 가능성이 부족함. 수동 테스트의 한계를 극복하기 위해 HTTP Request/Response의 전수 제어와 데이터 조작이 가능한 중간 프록시 아키텍처 필요성이 제기됨.
Technical Solution
- Browser와 Server 사이의 Man-in-the-Middle 구조를 설계하여 모든 HTTP/S 트래픽의 실시간 Intercept 및 가시성 확보
- CA Certificate 설치를 통한 TLS 암호화 트래픽의 복호화 및 평문 데이터 분석 환경 구축
- HTTP History의 Passive Recon을 통한 Endpoint, Parameter, Session Token 등의 잠재적 공격 벡터 식별
- Repeater를 활용한 개별 Request의 수동 수정 및 상태 변화 분석으로 비즈니스 로직 취약점 검증
- Intruder의 Payload List 자동 주입 기능을 통한 Brute-force 및 Fuzzing 작업의 효율적 수행
- JWT Editor, Turbo Intruder 등 BApp Extension 추가를 통한 토큰 조작 및 고속 요청 처리 기능 확장
실천 포인트
- HTTPS 트래픽 분석을 위한 CA Certificate 신뢰 설정 확인 - FoxyProxy를 활용하여 대상 타겟과 일반 브라우징 간의 프록시 전환 효율성 제고 - Passive Recon 후 Repeater(수동 분석) → Intruder(자동화 분석) 순의 분석 파이프라인 적용 - JWT 기반 인증 시스템 분석 시 alg:none 공격 등 토큰 조작 가능성 검토