타겟 정보 수집 - Spidering

주제

모의해킹 대상이 웹 서버일 때 사용할 수 있는 web spidering에 대해서 알아본다. 사이트에서 확인할 수 있는 모든 페이지를 식별하여 모의해킹에 도움을 준다. 식별 원리는 버튼에 있는 링크와 같은 정보를 수집하여 수동검색 시 발견하지 못했던 페이지를 찾을 수 있다.

 

---

도구: ZAP (OWASP Zed Attack Proxy)

다운로드 링크

https://www.zaproxy.org/download/

ZAP – Download

burp suite와 비슷한 프록시 툴이다. 스캐너로도 사용되며 오픈소스여서 무료이다.

window, linux, mac 등 운영체제에 맞게 설치한다. 

 

---

실행 방법

 

1.

도구탭의 Tools -> Spider을 눌러 실행한다. 그리고 Starting Point에 스캔하고 싶은 url을 입력한다. 이후에 Start Scan 버튼을 클릭한다.

 

---

 

2. 

하단에 URLs를 확인한다. Processed에 초록불이 들어와 있으면 그 경로가 존재한다.

true

GET

https://www.zaproxy.org/videos/

 

 

---

3.

브라우저를 통해서 위의 경로에 접속하면 정상적으로 접속이 가능한 것을 알 수 있다.