[웹해킹] 환경설정

 

 

해당 툴을 사용해서 다양한 “공격”을 할 수 있지만 당연히 불법이다. (항상 주의할 것!)

 

---

1. VMware

 

VMware Workstation 검색한다.

 

Download VMware Workstation Player | VMware

23년 9월 기준 17버전을 사용한다.

 

무료 버전은 비상업적인 개인 및 가정용으로 사용할 수 있습니다.

 

단, 상업 조직에서 Workstation Player를 사용하려면 상업용 라이선스가 필요합니다.

 

설치 후 재부팅까지 마무리하면 된다.

 

 

---

2. Ubuntu

 

강의는 Ubuntu 18.04.5 LTS 버전으로 진행함.

 

Index of /releases/bionic

64-bit PC (AMD64) desktop image를 다운로드함.

 

 

VMWare에서 새로운 가상 머신을 생성한다.

 

다운받은 disc image를 선택하고 몇 가지 설정을 한다.

 

정상적으로 부팅되면…

1. root 계정의 비밀번호를 설정한다. (sudo passwd root)
2. 한글을 추가한다.

 

---

3. XAMPP

 

Apache, MariaDB, PHP, Perl을 패키지로 설치해 주는 프로그램.

 

인터넷에 XAMPP 검색 후 설치.

//시작
/opt/lampp/lampp start

//종료
/opt/lampp/lampp stop

 

 

localhost에 접속하면 Welcome to XAMPP 페이지가 보일 것이다.

 

---

4. firefox

 

Firefox 최신 버전 다운로드

 

가. 프록시 설정

 

웹 브라우전에서 프락시 서버(127.0.01:8080)를 거쳐서 통신하도록 설정한다. (또는 windows의 네트워크 및 인터넷 → 프락시 → 수동 프록시 설정)

 

 

parameter 조작을 수행할 때 HTTP의 GET을 경우는 URL을 직접 수정하면 되지만 POST는 값을 직접 수정하기 어렵기 때문에 ZAP과 Burp suite와 같은 툴이 필요하다.

 

---

5. OWASP ZAP

 

ZAP is an easy to use integrated penetration testing tool for finding vulnerabilities in web applications.

• OWASP ZAP : 오픈 소스 웹 애플리케이션 보안 스캐너이다. 무료 웹 애플리케이션 취약점 진단 도구다.

 

 

출처 : http://wiki.hash.kr/index.php/ZAP

---

가. ZAP 설치하기

 

The ZAP Homepage

 

 

나. ZAP와 Firefox 연동하기

 

 

웹 브라우저에서 웹 서버로 보낸 정보를 프락시 서버에서 break을 걸어 멈추고 확인할 수 있다.

 

또 웹 서버로 가는 데이터를 변경할 수도 있다.

 

 

 

---

6. Burp_Suite

 

• Burp suite (버프 수트) : 웹 애플리케이션의 침투 테스트에 사용되는 소프트웨어 보안 애플리케이션. Application Security Testing Software.

 

 

---

가. 설치

 

개인 사용자는 community edition을 사용한다.

 

Professional / Community 2023.9.4

 

별도의 설정변경 없이 설치하면 된다.

• Forward : 현재 잡은 패킷만 인터셉트를 해제하여 전달한다.
• Drop : 현재 가지고 있는 패킷을 제거하고 다음 패킷을 받는다.
• Action : 파킷과 관련하여 부가적인 기능을 사용할 수 있다.

 

가상머신 ip 확인, XAMPP 실행

요청 캡처, 분석

 

앞서 설치한 가상머신에서 XAMPP를 실행시키고 윈도우 환경에서 이를 Burp를 통해서 접근할 수 있다.

 

---

나. Burp와 Firefox 연동하기

 

지금은 HTTP 통신은 문제가 없지만 HTTPS 통신은 사용할 수 없다.

Firefox가 프록시 서버인 Burp(PortSwigger사)를 신뢰하지 않기 때문이다.

 

http://burp/로 접속해서 PostSwigger사의 인증서를 다운로드한다.

 

Firefox의 preference → Privacy & Security로 이동한다.

 

import → 다운로드한 인증서를 선택한다.

 

모두 체크한다.

 

OK!

 

---

 

해당 툴을 사용해서 다양한 “공격”을 할 수 있지만 당연히 불법이다. (항상 주의할 것!)