Burp Suite Intruder: Pitchfork

💡 Burp Suite Intruder: Pitchfork 공격 유형 상세 분석

Burp Suite (버프 스위트)의 Intruder (인투루더) 도구는 웹 애플리케이션 보안 테스트에서 반복적인 맞춤형 공격(Automated Custom Attacks)을 수행하는 핵심 모듈입니다. Intruder가 제공하는 다양한 공격 유형 중 Pitchfork는 특정 시나리오, 특히 자격 증명 스터핑(Credential-Stuffing) 공격에 매우 효과적입니다.

1. Pitchfork 공격 유형의 핵심 개념

구분	내용
정의	여러 페이로드 세트(Payload Sets)를 동시에(Simultaneously) 사용하여 다수의 지정된 공격 위치(Attack Positions)에 순서대로 대입하는 공격 유형입니다.
작동 방식	각 공격 위치($P_1, P_2, \dots$)에 대해 별도의 페이로드 세트($S_1, S_2, \dots$)가 지정됩니다. Intruder는 각 세트의 같은 순서($n$번째) 항목을 취하여 한 번의 요청을 구성합니다.
최대 위치 수	최대 20개의 공격 위치에 페이로드 세트를 할당할 수 있습니다.

2. Sniper 공격 유형과의 비교

Pitchfork 공격 유형을 이해하는 데 있어 가장 중요한 것은 다른 주요 공격 유형인 Sniper와의 차이점을 명확히 하는 것입니다.

특징	Sniper 공격 유형 (저격수)	Pitchfork 공격 유형 (쇠스랑)
페이로드 세트 수	단 하나의 페이로드 세트 사용	공격 위치마다 하나의 페이로드 세트 사용 (최대 20개)
공격 방식	하나의 페이로드 세트의 항목을 모든 위치에 하나씩 순차적으로 테스트	여러 페이로드 세트의 동일 순서 항목을 동시에 각 위치에 대입하여 테스트
주요 활용	단일 매개변수의 취약성 테스트 (예: SQL Injection, XSS)	다중 매개변수 간의 연관성 테스트 (예: 사용자 이름/비밀번호 쌍)

3. Pitchfork 공격의 예시 (Brute-Force Scenario)

제공된 예시는 Pitchfork 공격의 작동 원리를 명확하게 보여줍니다.

• 페이로드 세트 1: 사용자 이름 (joel, harriet, alex)
• 페이로드 세트 2: 비밀번호 (J03l, Emma1815, Sk1ll)

요청 번호	사용자 이름 (Set 1)	비밀번호 (Set 2)	요청 바디 (Request Body)
1	$\text{joel}$ (1st)	$\text{J03l}$ (1st)	\text{username=joel&password=J03l}
2	$\text{harriet}$ (2nd)	$\text{Emma1815}$ (2nd)	\text{username=harriet&password=Emma1815}
3	$\text{alex}$ (3rd)	$\text{Sk1ll}$ (3rd)	\text{username=alex&password=Sk1ll}

4. Pitchfork 공격 시 고려사항 및 최적화

Pitchfork 공격 유형을 효율적으로 사용하기 위해서는 페이로드 세트의 관리가 중요합니다.

가. 페이로드 세트 길이 일치 원칙 (Synchronization)

• 원칙: Pitchfork 공격에서는 모든 페이로드 세트의 길이가 동일해야 합니다.
• 이유: Intruder는 공격 요청을 생성하는 동안 가장 짧은 페이로드 세트가 항목을 모두 소진하는 즉시 공격을 중단합니다.
• 결과: 길이가 다른 경우, 더 긴 목록의 나머지 항목은 테스트되지 않고 누락(Omission) 됩니다. 이는 공격의 완전성 및 효율성을 저해합니다.

나. 주요 활용 시나리오

• 자격 증명 스터핑 공격 (Credential-Stuffing Attack): 도난당한 사용자 이름/비밀번호 쌍을 동시에 테스트하는 데 가장 적합합니다. 이는 무차별 대입(Brute-Force) 공격과는 달리, 유효한 쌍만 테스트하므로 리소스 소모를 줄이고 성공률을 높입니다.
• 다중 매개변수 테스트: 여러 입력 필드(예: ID, PIN, OTP 등)가 서로 연관된 값을 필요로 하는 경우에 유용합니다.

결론적으로, Pitchfork 공격 유형은 여러 개의 매개변수(위치)에 개별적으로 준비된 페이로드 세트를 동기화하여 테스트함으로써, 특히 실제 계정 정보를 활용하는 공격 시나리오의 효율성을 극대화하는 Intruder의 고급 기능입니다.