Burp Intruder 멀티스레드와 페이로드 최적화

소개

Burp Intruder는 반복 요청을 자동화하는 도구다. 적절한 멀티스레드 설정과 체계적 페이로드 세트 구성은 테스트 속도와 정확도를 결정한다. 초보자도 이해하기 쉽게 핵심 개념과 실무 적용법을 정리했다.

핵심 개념 이해

멀티스레드의 의미

멀티스레드는 동시에 보낼 요청 수를 의미한다. 스레드를 늘리면 처리량이 올라간다. 다만 서버 부하, 네트워크 대역폭, Burp 자체 리소스를 고려해야 한다.

페이로드 세트의 역할

페이로드 세트는 공격 벡터 목록이다. 적절한 분류와 우선순위가 없으면 불필요한 요청이 증가한다. 페이로드 조합과 중복 제거가 핵심이다.

Intruder 멀티스레드 설정 전략

기본 원칙

• 목표 시스템의 허용 범위를 우선 파악한다.
• 리소스 한계를 기준으로 점진적으로 스레드를 조절한다.
• 에러율과 응답 시간 변화를 모니터링한다.

실무 권장값과 점검 항목

초기 테스트는 5~10 스레드로 시작한다. 안정성이 확인되면 2배씩 올리며 모니터링한다. 일반적으로 웹 애플리케이션 환경에서 20~50 스레드 범위가 현실적이다. 그러나 API나 내부 네트워크 등 환경에 따라 허용값은 달라진다.

• 응답 시간 증가가 급격하면 스레드 감소
• 5% 이상의 에러율 상승은 과부하 신호
• Burp 혹은 시스템 CPU, 메모리 사용률을 함께 관찰

자동화와 제한 설정

Burp에서 인위적 대기(think time)와 연결 제한을 함께 사용하면 안정성을 유지할 수 있다. 제한은 네트워크 장비와 서버 로그에도 부담을 줄인다.

Burp 페이로드 세트 최적화

페이로드 분류와 우선순위

페이로드를 유형별로 분리한다. 예를 들어 인증 관련, 입력 검증 관련, 경계값 테스트 등으로 구분한다. 중요한 케이스를 상단에 둬 우선 확인한다.

중복 제거와 축소

중복 페이로드는 네트워크 낭비다. 유사한 케이스는 통합하고, 의미 없는 변형은 제거한다. 자동화 스크립트로 중복을 검출하면 시간이 절약된다.

조합 전략

모든 조합을 시도하면 폭발적인 요청이 발생한다. 따라서 다음과 같은 전략을 권장한다.

• 단일 페이로드 우선 테스트
• 중요 조합만 선택적 테스트
• 랜덤 샘플링으로 조합 커버리지 확보

실전적 워크플로우

준비 단계

• 테스트 목적 정의(취약점 유형, 범위)
• 타깃 환경의 허용 한계 확인
• 페이로드 세트 초기 구성

테스트 단계

멀티스레드를 점진적으로 늘리며 상태를 확인한다. 동시에 페이로드 세트를 정리하며 불필요한 케이스를 제거한다. 로그에서 이상 응답 패턴을 찾아 페이로드 우선순위를 재조정한다.

검증과 반복

결과를 기준으로 페이로드를 축소하거나 재배열한다. 성능 개선이 멈출 때까지 작은 실험을 반복한다. 이 과정에서 자동화 스크립트가 유용하다.

도구와 스크립트 예제

간단한 페이로드 파일 예시와 작은 생성 스크립트를 첨부한다. 모든 코드는 실행 전 검토가 필요하다.

# payloads.txt 예시
admin
root
user
test
123456
password
admin' OR '1'='1

# payload_generator.py (Python 3)
import itertools
base = ['0','1','a','A']
payloads = [''.join(p) for p in itertools.product(base, repeat=3)]
with open('generated_payloads.txt','w') as f:
    for p in payloads:
        f.write(p+'\n')

모니터링과 안전 장치

모니터링은 필수다. 오류율, 응답 지연, 서버 로그의 5xx 증가 등을 체크한다. 문제가 보이면 즉시 스레드를 낮추고 페이로드를 축소한다. 부하 테스트와 혼동하지 말고, 항상 허가된 범위에서 진행한다.

문제 해결 체크리스트

• 응답 시간 급증: 스레드 줄이기, think time 추가
• 연결 에러 증가: 동시 연결 제한 확인
• 결과 잡음(noise) 증가: 페이로드 필터링 적용
• Burp 성능 저하: 로컬 리소스 증설 또는 분산 테스트 고려

마무리 정리

Intruder 멀티스레드 설정과 Burp 페이로드 세트 최적화는 상호 보완적이다. 스레드는 속도를, 페이로드는 효율을 좌우한다. 작은 실험과 지속적 모니터링으로 Burp Intruder 성능 개선을 달성할 수 있다.