Burp Suite를 사용하여 웹 응답의 데이터를 자동으로 바꾸는 방법

Burp Suite로 웹사이트를 테스트하는 경우 요청과 표시되는 웹페이지를 변경할 수 있습니다. 수신한 응답에 대해 여러 가지 자동 변경 사항을 구성할 수 있습니다. 옵션은 "프록시" 탭의 "옵션" 하위 탭에 있는 "응답 수정" 섹션에서 찾을 수 있습니다. 모든 자동 응답 수정은 웹사이트를 테스트하는 사람들에게 유용하도록 설계되었습니다.

참고: Burp Suite는 보안 도구로 합법적으로 사용됩니다. 웹사이트에서 자신의 계정만 사용하는 경우에도 법을 위반할 수 있으므로 어떤 작업을 시도하기 전에 웹사이트 소유자로부터 웹사이트 테스트 허가를 받았는지 확인해야 합니다.

자동 수정 옵션은 "프록시" 탭의 "옵션" 하위 탭에 있는 "응답 수정" 섹션에서 찾을 수 있습니다.

첫 번째 옵션은 "숨겨진 양식 필드 숨기기 해제"이며 "숨겨지지 않은 양식 필드를 눈에 띄게 강조 표시" 하위 옵션과 함께 제공됩니다. 숨겨진 양식 필드에는 일반적으로 사용자 ID와 같은 사전 구성된 데이터 값이 포함됩니다. 이 데이터는 요청과 함께 제출해야 하지만 사용자는 데이터를 보거나 편집할 필요가 없습니다. 필드 숨김을 해제하면 값을 편집할 때 어떤 일이 발생하는지 더 쉽게 볼 수 있습니다. 이러한 옵션은 프로세스를 자동화하므로 숨겨진 양식 필드를 쉽게 찾을 수 있습니다.

"비활성화된 양식 필드 활성화"는 사용자가 값을 편집할 수 없도록 비활성화된 모든 양식 필드를 자동으로 활성화합니다. "입력 필드 길이 제한 제거"는 양식 필드를 통해 제출할 수 있는 문자 수에 대한 제한을 제거합니다. 이로 인해 특정 길이의 입력만 예상하는 웹 사이트에서 예기치 않은 동작이 발생할 수 있습니다.

"JavaScript 양식 유효성 검사 제거"는 제출되는 양식 데이터의 유효성을 검사하는 모든 JavaScript를 삭제하여 잘못된 데이터 제출을 허용합니다. "Remove all JavaScript"는 웹 페이지에서 모든 JavaScript를 삭제합니다. 이 옵션은 클라이언트 측 논리를 비활성화하기 위한 것입니다. "Removetags"는 JavaScript 제거와 같은 외부 리소스의 컨테이너를 삭제합니다. 이는 클라이언트 측 논리를 비활성화하기 위한 것이기도 합니다.

"HTTPS 링크를 HTTP로 변환"은 암호화된 링크를 일반 텍스트 링크로 자동으로 다운그레이드합니다. 이는 SSLStrip 유형 공격을 테스트하고 웹 사이트가 일반 텍스트 요청을 업그레이드하는지 확인하는 데 유용할 수 있습니다. "쿠키에서 보안 플래그 제거"는 쿠키가 일반 텍스트 연결을 통해 전송되는 것을 방지하는 보안 플래그를 쿠키에서 자동으로 제거합니다. 이는 SSLStrip 유형 공격을 수행할 때 인증 토큰 및 기타 민감한 쿠키를 유출하는 데 도움이 될 수 있습니다.

"응답 수정" 섹션 바로 아래에 있는 "일치 및 바꾸기" 섹션에서는 정규식을 사용하여 요청과 응답 모두에 대한 사용자 지정 규칙을 구성할 수 있습니다. 요청과 응답의 헤더 또는 본문, 매개변수 이름과 값, 요청의 첫 번째 줄을 바꿀 수 있습니다.

Burp Suite를 사용하여 웹 응답의 데이터를 자동으로 바꾸는 방법