Fuzzing
Fuzzing은 알려지지 않은 취약점을 소프트웨어에서 테스트하는 기술이다.
소프트웨어에 입력값을 무작위로 대입하고, 그 과정에서 발생하는 에러나 충돌을 모니터링해서 보안의 허점을 찾아내는 방식이다.
Fuzzing 종류
Mutation Based Fuzzing (Dumb Fuzzing)
Dumb Fuzzing은 새로운 테스트 케이스를 생성하기 위해 입력 구조의 모델이 필요하지 않는 테스트 생성기이다.
이러한 방식은 데이터 형식이나 입력 구조에 대한 이해가 어려울 때 사용한다
장점
✔︎ 쉽고 빠르게 구현이 가능
✔︎ 입력 구조에 대한 분석 하지 않아도 됨
단점
✔︎ 입력에 미리 정의된 구조가 필요하거나 체크섬이 포함되어 있는 경우 유효한 입력을 생성하는데 어려움이 존재한다.
Generation Based Fuzzing (Smart Fuzzing)
Smart Fuzzing은 입력 구조의 모델을 완전히 이해한 상태에서 수행하는 퍼징이다.
입력 구조의 모델을 분석해 포맷에 맞춰 변형한 뒤 생성해 주어야 하므로 구현 난이도가 높다.
이러한 방식은 파일 포맷이 복잡한 프로그램의 경우에는 파일 포맷을 어느 정도 맞춰주어야만 퍼징이 가능한 경우가 많기 때문에 이 방식이 효율적인 경우가 많다.
장점
✔︎ 실제 프로그램에 더 높은 Code Coverage로 이어지는 유효한 입력 값을 생성한다.
단점
✔︎ 입력 모델에 대한 이해도가 선행되어야 한다.
✔︎ 구현 난이도가 높아 준비하고 취약점을 찾기까지 시간이 걸린다.
Web Fuzzer
Web Fuzzer는 웹 애플리케이션을 대상으로 하는 Fuzzing 도구로, 웹 애플리케이션의 취약점을 찾기 위해 다양한 입력 값을 자동으로 생성하고 전달하는 테스트 기법이다.
Web Fuzzer 도구
Burp Suite
Burp Suite는 웹 애플리케이션 보안 테스트를 위한 통합 플랫폼이다.
다양한 도구를 포함하고 있으며, 무료 버전과 유료 버전이 존재한다.
유료 버전은 더 많은 기능을 제공한다.
사용자 친화적인 인터페이스와 다양한 플러그인 지원이 있다.
주요 기능
인터셉터는 HTTP 요청과 응답을 가로채고 수정할 수 있는 기능이다.
스캐너는 자동으로 취약점을 탐지하는 기능이다.
리피터는 요청을 반복적으로 전송하여 응답을 분석할 수 있는 기능이다.
인트루더는 다양한 입력을 자동으로 전송하여 취약점을 탐지하는 기능이다.
웹사이트
OWASP ZAP (Zed Attack Proxy)
OWASP ZAP은 오픈 소스 웹 애플리케이션 보안 스캐너이다.
사용자 친화적인 인터페이스를 제공하며, 자동화된 스캐닝과 수동 테스트 기능을 모두 지원한다.
무료로 제공되며, 커뮤니티 지원이 활발하다.
주요 기능
자동 스캐닝은 웹 애플리케이션의 취약점을 자동으로 탐지하는 기능이다.
프록시 기능은 웹 브라우저와 애플리케이션 사이에 위치하여 요청을 가로채고 분석하는 기능이다.
스크립팅은 사용자 정의 스크립트를 작성하여 테스트를 확장할 수 있는 기능이다.
웹사이트
wfuzz
wfuzz는 웹 애플리케이션을 퍼징하기 위한 유연한 도구이며 특히 RESTful API 테스트에 적합하다.
커스터마이징이 용이하고, 명령줄 인터페이스를 통해 빠르게 사용할 수 있다.
주요 기능
대량의 요청 전송은 다양한 입력 값을 사용하여 대량의 요청을 자동으로 생성하는 기능이다.
플러그인 지원은 다양한 플러그인을 통해 기능을 확장할 수 있다.
정확한 결과는 HTTP 응답 코드를 기반으로 결과를 필터링할 수 있는 기능이다.
웹사이트
FuzzDB
FuzzDB는 다양한 공격 벡터와 입력 값을 포함하는 데이터베이스이다.
다른 퍼저 도구와 결합하여 효과적인 공격 시나리오를 생성할 수 있다.
주요 기능
사전 공격은 SQL 인젝션, XSS 등의 공격 벡터를 포함한 입력 값 목록이다.
패턴 라이브러리는 다양한 웹 애플리케이션의 취약점을 탐지하기 위한 패턴을 제공한다.
웹사이트
Nessus
Nessus는 종합적인 취약점 스캐너이다.
웹 애플리케이션뿐만 아니라 네트워크와 시스템의 취약점도 탐지할 수 있다.
다양한 플랫폼을 지원하며, 신뢰성이 높은 결과를 제공한다.
주요 기능
자동 스캐닝은 웹 애플리케이션의 취약점을 자동으로 탐지하는 기능이다.
보고서 생성은 발견된 취약점에 대한 상세한 보고서를 제공하는 기능이다.
웹사이트
Acunetix
Acunetix는 상용 웹 애플리케이션 보안 스캐너이다.
자동화된 테스트와 수동 테스트 기능을 모두 제공한다.
주요 기능
자동화된 스캐닝은 웹 애플리케이션의 취약점을 빠르게 탐지하는 기능이다.
보고서 기능은 다양한 형식의 보고서를 생성하여 분석이 용이하다.
웹사이트
SQLMap
SQLMap은 SQL 인젝션 취약점을 자동으로 탐지하고 Exploit할 수 있는 도구이다.
SQL 인젝션에 특화되어 있다.
주요 기능
자동 탐지는 다양한 데이터베이스 시스템에 대한 SQL 인젝션을 자동으로 탐지하는 기능이다.
데이터 추출은 데이터베이스에서 민감한 데이터를 추출할 수 있는 기능이다.
웹사이트
참고
https://m.blog.naver.com/autocrypt/222409538688
https://rninche01.tistory.com/entry/Fuzzing-%EA%B3%B5%EB%B6%80)
https://m.blog.naver.com/belladonnaf/220341990533
