웹 정찰 및 인터셉트 프록시 (Web Recon & Intercepting Proxies)
웹 정찰 (Web Reconnaissance) 과 HTTP 인터셉트 기술을 학습합니다. 이 기술은 단순히 URL 을 방문하는 수준을 넘어, 애플리케이션 이면에 숨겨진 구조를 파악하는 핵심 역량입니다. 현대의 웹 대상들은 메인 인터페이스에서는 보이지 않는 숨겨진 디렉토리, 문서화되지 않은 파라미터, 가상 호스트 (Virtual Hosts), 그리고 API 를 노출하는 경우가 많습니다. 본 과정에서는 이러한 공격 표면을 발견하고, 원시 HTTP 동작을 검사하며, 명령줄 (Command Line) 을 통해 웹 애플리케이션과 더욱 정밀하게 상호작용하는 방법을 배웁니다.
왜 중요한가?
많은 중요한 웹 취약점은 공격 (Exploitation) 이 아닌 정찰 (Reconnaissance) 단계에서 시작됩니다. 숨겨진 엔드포인트, 특이한 파라미터, 또는 API 동작을 식별하지 못한다면 공격 표면 전체를 놓치게 됩니다. 따라서 체계적인 웹 정찰은 보안 테스트와 방어적 검증 모두에서 필수적인 핵심 기술입니다.
본 과정은 웹 애플리케이션이 실제로 어떻게 통신하는지에 초점을 맞춥니다. 수강생은 퍼징 (Fuzzing) 을 통해 숨겨진 콘텐츠를 찾고, 요청을 검사 및 수정하며, API 와 상호작용하고, 본격적인 공격에 앞서 대상 웹 환경의 구조를 명확하게 파악하는 방법을 익히게 됩니다.
학습 내용
- 웹 퍼징 도구를 사용하여 숨겨진 디렉토리, 파일, 파라미터 및 가상 호스트를 발견합니다.
- 명령줄 워크플로우를 사용하여 원시 HTTP 요청 및 응답을 검사하고 수정합니다.
- 다양한 HTTP 메서드와 구조화된 JSON 출력을 사용하여 API 와 상호작용합니다.
- 브라우저만으로는 보이지 않는 웹 공격 표면을 식별합니다.
- 대상 애플리케이션의 노출된 인프라에 대한 보다 완전한 지도를 구축합니다.
과정 로드맵
- 디렉토리 및 파일 퍼징:
ffuf및gobuster를 사용하여 숨겨진 경로와 파일을 식별합니다. - 확장 웹 퍼징 (파라미터 및 가상 호스트): 문서화되지 않은 파라미터와 숨겨진 가상 호스트까지 탐색 범위를 확장합니다.
- HTTP 인터셉트 기초:
curl과 같은 도구를 사용하여 HTTP 트래픽을 직접 생성, 수정 및 분석합니다. - API 상호작용 및 분석: REST 스타일 API, 인증 흐름, JSON 기반 응답을 탐색합니다.
- 웹 인프라 매핑 챌린지: 정찰 및 인터셉트 기술을 활용하여 숨겨진 웹 표면을 찾아내고 민감한 토큰을 추출합니다.
수강 대상
- 웹 보안 학습 단계에 진입한 학습자.
- 더욱 체계적인 열거 (Enumeration) 역량을 기르고자 하는 모의 해킹 전문가 (Penetration Testers).
- 웹 애플리케이션과 API 가 외부로 무엇을 노출하고 있는지 검증하려는 보안 담당자.
학습 성과
본 과정을 마치면 숨겨진 웹 자산을 열거하고, HTTP 동작을 더욱 정밀하게 분석하며, 인증, 인가 및 주입 (Injection) 취약점을 테스트하기 위한 탄탄한 기반을 마련할 수 있게 됩니다.
