There has been a significant change in UI since version 2020.12 of Burp site. (Personally, I’m unsure) The most important part is the change of LAF(Look and Feel)’s class to PlateLaf. This class can also support other themes developed for IntelliJ Platform, enabling it to apply different themes to the BuffSuite.

제가 블로그를 운영하는 가장 큰 이유 중 하나는 개인적인 정리가 목적입니다. 물론 노션이나 다른 도구들로 따로 정리하지만, 기술에 관련된 내용들은 아무래도 블로깅을 통해 정리하는게 익숙하다 보니 긴 시간동안 계속 이렇게 작성하게 되는 것 같습니다.

새해 첫글입니다. 사실 12월 마지막 글로 작성하려고 했는데, 마무리를 못해서 새해 첫글이 되어버렸네요. 최근에 브라우저 확장 관련해서 기존에 알던 것 보다 조금 더 리서치할 일이 있었는데, 겸사겸사 정리할겸 분석 방법에 대해 글로 정리해봅니다.

⚠️ SSRF에 관련된 내용은 Cullinan > SSRF에서 관리하고 있습니다. ToCToU를 포함하여 최신 데이터로 유지되고 있으니 참고 부탁드려요!

Pet?

Go 기반의 command-line snippet mananger입니다. fzf와 유사한 인터페이스를 가지고 있고, 자주 사용하는 명령을 좀 더 쉽게 저장/관리하고 사용할 수 있습니다. 설치/사용법에 대한 내용은 제가 올 여름에 썼던 글을 참고해주세요!

브라우저 확장 기능의 보안 관련하여 테스트할게 필요하여 제가 알던 내용에 조금 더 리서치하여 글로 작성해 봅니다. 우선 브라우저 확장 기능은 웹 브라우저에 추가되는 작은 단위의 앱으로 Chrome / Safari / Firefox 등등 다수 브라우저에서 웹 브라우징, 광고차단, 각종 테스트 기능 등 여러 사용자들에게 서비스되고 있습니다. 이는 앱 생태계와 동일하게 개인/기업 등등의 개발자가 규격에 따라 만들고 스토어에 업로드 후 승인 절차를 통해 등록되는 것으로 알고 있습니다.

2020 마지막이 얼마 남지 않은 오늘 드디어 ZAP 2.10.0이 릴리즈 되었습니다. 그동안 dark mode 등을 이유로 weekly 버전을 사용했었는데, 이제는 공식 버전으로 넘어가도 좋을 것 같네요.

오늘은 제가 오픈소스 프로젝트에서 주로 사용하는 git-action 과 app에 대해 가볍게 소개해드릴까 합니다. 다른 프로젝트들과 비교해보면 전 그냥 많지도, 적지도 않은 양을 사용하는 것 같네요 😁

Problem

보통 편의성과 보안성 모두를 위해 ssh는 PKA(Public Key Authentication) 기반으로 운영하는 경우가 많습니다. 특히나 AWS, Azure, GCP 등의 퍼블릭 클라우드 서비스들은 외부에 22 와 같은 ssh 포트를 오픈해야하는 필요성이 있기 때문에(ACL이 있던 없던) 당연히 PKA를 기본 인증 체제로 사용합니다. (패스워드는 되도록이면 사용하지 말라고 가이드하고 있죠.)

Army-Knife for AppSec

Application Security 또는 Pentest, Bugbounty 등 전반적인 Offensive security 관련 일에서 가장 핵심적인 도구는 Burp/ZAP 과 같은 Proxy 도구입니다. 초기에는 Proxy 도구라는 성향이 강했지만, 이제는 Proxy 도구라기 보단 Army-Knife 라고 보는게 더 적합할 것 같습니다.