Burp로 X-Forwarded-For 및 프록시 헤더 검사

서론: 왜 X-Forwarded-For와 프록시 헤더를 검사해야 하는가

프록시 환경에서는 원래 클라이언트의 IP를 전달하기 위해 X-Forwarded-For 같은 헤더가 사용된다. 그러나 잘못된 처리로 인해 인증·접근 통제 우회, 로깅 오류, 트래픽 우회 등 보안 문제가 발생할 수 있다. 따라서 Burp를 이용한 헤더 검사 과정은 웹 애플리케이션 보안 점검에서 중요한 항목이다. 다만 모든 테스트는 명시적 허가를 받은 범위 내에서 수행해야 한다.

배경 지식

X-Forwarded-For란

X-Forwarded-For는 원래 클라이언트 IP를 프록시가 백엔드로 전달할 때 사용하는 필드다. 형식은 일반적으로 콤마로 구분된 IP 리스트다. 서버나 애플리케이션이 이 값을 신뢰하고 접근 제어에 사용하면, 값 위조로 문제가 생길 수 있다.

기타 프록시 헤더

자주 쓰이는 헤더로는 X-Real-IP, Forwarded, Via, X-Forwarded-Host 등이 있다. 각각의 동작과 우선순위를 이해하면 Burp에서 어떤 값을 바꿨을 때 영향이 있는지 빠르게 판단할 수 있다.

검사 전 점검 항목

• 테스트 대상에 대한 서면 허가 확인
• 로그와 모니터링의 영향 평가
• 테스트 중 서비스 중단 가능성에 대한 사전 공지

Burp를 이용한 기본 검사 흐름

다음 절차는 원칙적이고 일반적인 점검 흐름이다. 실제 환경에서는 서비스 특성에 맞춰 범위를 조정한다.

• 브라우저에서 Burp Proxy를 통해 트래픽 캡처
• 의심되는 요청을 Repeater로 보냄
• 헤더를 변조해 응답의 변화 관찰
• 로그와 서버의 처리 방식 비교·분석

구체적 검사 포인트

1) 기본 헤더 위조 검사

Burp 요청을 Repeater로 열어 X-Forwarded-For, X-Real-IP 등의 값을 변경한다. 다음 예시는 이해를 돕는 기본 형식이다.

GET /example/path HTTP/1.1
Host: target.example.com
User-Agent: Mozilla/5.0
Accept: */*
X-Forwarded-For: 203.0.113.45
X-Real-IP: 203.0.113.45
Connection: close

값을 변경한 뒤 응답 코드, 페이지 내용, 세션 행동, 또는 서버 로그 변화를 확인한다.

2) 다중 IP, 공백 및 특수값 테스트

서버가 리스트의 첫 번째나 마지막 IP를 신뢰하는지 확인한다. 콤마로 구분된 여러 IP, 공백 포함, 혹은 임의 문자열을 넣어 처리 결과를 관찰한다. 예시는 다음과 같다.

GET /example/path HTTP/1.1
Host: target.example.com
X-Forwarded-For: 10.0.0.1, 203.0.113.45

3) 우선순위 및 다른 헤더 조합 검사

서버가 Forwarded 헤더를 우선하는지, 또는 X-Real-IP를 신뢰하는지 확인한다. 헤더 조합으로 달라지는 동작을 기록한다.

탐지 방법과 징후

• 요청 헤더를 바꿨을 때 권한 레벨이 변하는 경우
• 로그에 표시되는 IP가 변조한 값과 일치하는 경우
• 세션 연결이나 접근 제어에 변화가 있는 경우

이러한 징후가 발견되면 해당 경로의 인증·권한 처리 로직과 로깅 구성 검토를 권장한다.

대응 방안

• 프록시와 애플리케이션 간의 신뢰 모델 재정의
• 신뢰할 수 있는 프록시에서만 원본 IP를 허용하도록 구성
• 애플리케이션 레벨에서 IP 기반 접근 제어 대신 토큰 등 대체 인증 수단 사용
• 로그에 원본 연결 정보를 별도로 기록하고 위조 가능성에 대한 경고 트리거 설정

점검 체크리스트

• Burp에서 캡처한 요청을 바탕으로 모든 프록시 관련 헤더 점검
• 헤더 변조 시 응답 코드·본문·세션 변화 기록
• 서버 로그와 대응 여부 비교
• 발견 시 우선순위에 따라 패치·설정 적용 및 재검증

사례와 주의사항

간단한 사례로, 내부 관리자 페이지가 원격 IP 화이트리스트로만 접근을 허용하고 X-Forwarded-For를 신뢰한 경우가 있다. 이때 공격자가 헤더를 위조하면 접근 우회가 가능했다. 따라서 신뢰 가능한 네트워크 경계 내에서만 X-Forwarded-For를 수용하도록 구성해야 한다.

또한 Burp 요청 헤더 변조를 수행할 때는 테스트 로그를 남기고, 비정상 트래픽으로 의심받지 않도록 운영팀과 사전 조율을 반드시 한다.

마무리

Burp X-Forwarded-For 테스트와 프록시 헤더 취약점 Burp 점검은 상대적으로 단순하지만 영향이 큰 항목이다. Burp 요청 헤더 변조를 통해 다양한 예외 처리를 확인하고, 발견된 문제는 프록시 설정과 애플리케이션 로직을 함께 개선하는 방식으로 대응하면 보안 수준을 높일 수 있다.