실제로 자주 쓰는 버그바운티 툴 정리

먼저, 버그바운티란?

버그바운티는 기업이나 서비스에서 정식으로 허용한 범위 안에서 보안 취약점을 찾고, 이를 제보했을 때 보상을 받을 수 있는 프로그램이다.
쉽게 말하면, 화이트해커가 자신의 실력으로 취약점을 찾아내고 그 대가를 받는 구조라고 보면 된다.

취약점의 심각도가 높을수록 보상도 커지기 때문에, 많은 보안 입문자들이 관심을 가지는 분야이기도 하다.
다만 단순히 툴만 많이 안다고 되는 것은 아니고, 실제로는 분석 흐름을 잘 잡고 기록을 남기면서 재현 가능한 형태로 정리하는 능력이 더 중요하다고 생각한다.

오늘은 내가 버그바운티를 하면서 자주 사용하는 툴들을 간단하게 정리해보려고 한다.

---

웹 버그바운티에서 자주 쓰는 툴

버그바운티 분야 중에서도 웹은 가장 수요가 많고, 입문자들이 시작하기에도 비교적 접근성이 좋은 편이다.
나도 웹 쪽을 분석할 때 가장 많이 사용하는 툴은 Burp Suite와 Fiddler, wapplayzer이다.

Burp Suite는 요청과 응답을 직접 보고 수정하면서 테스트할 수 있어서 거의 기본 툴처럼 사용하고 있다.
프록시를 통해 패킷을 확인하고, Repeater로 요청을 반복해서 보내보거나, 어떤 파라미터가 취약점으로 이어질 수 있는지 하나씩 검증할 때 정말 많이 쓴다.

Fiddler도 같이 사용하는 편인데, 나는 주로 Codex MCP와 연결해서 내가 분석한 흐름을 정리하거나 기록을 남기는 용도로 활용한다.
단순히 패킷만 보는 게 아니라, “어디를 확인했고”, “무슨 응답이 나왔고”, “어떤 지점이 의심스러웠는지”를 남겨두면 나중에 다시 볼 때 훨씬 편하다.

결국 웹 버그바운티에서는
“요청을 본다 → 수정한다 → 응답을 비교한다 → 의심 지점을 기록한다”
이 흐름이 반복되는데, Burp와 Fiddler는 이 과정을 도와주는 핵심 도구라고 생각한다.

---

안드로이드 분석에서 자주 쓰는 툴

안드로이드 앱을 분석할 때는 Nox, Burp Suite, ADB, Frida를 자주 사용한다.

먼저 Nox 같은 안드로이드 에뮬레이터를 이용하면 실제 기기보다 테스트 환경을 잡기가 편하다.
나는 보통 Nox와 Burp Suite를 연결해서 앱의 트래픽을 확인한다.
Burp의 프록시 리스너를 모든 인터페이스에서 받을 수 있도록 설정하고, Nox 쪽에 프록시를 잡아주면 앱에서 발생하는 요청을 Burp에서 볼 수 있다.

이렇게 하면 앱이 어떤 API와 통신하는지, 어떤 헤더를 쓰는지, 토큰은 어떻게 붙는지, 특정 기능을 눌렀을 때 어떤 요청이 나가는지를 비교적 쉽게 확인할 수 있다.

그다음에는 ADB로 에뮬레이터에 붙어서 필요한 파일을 확인하거나 앱 동작을 제어하고, Frida를 이용해 런타임에서 동작을 분석한다.
예를 들어 SSL Pinning 같은 보안 정책 때문에 통신이 바로 보이지 않는 경우가 있는데, 이런 부분을 우회하거나 특정 함수의 동작을 후킹해서 실제 앱이 어떻게 동작하는지 확인할 때 Frida가 매우 유용하다.(물론 한국은 거의없다..ㅋ;;)

즉, 안드로이드 분석은 보통
“에뮬레이터 실행 → 프록시 연결 → 트래픽 확인 → ADB로 제어 → Frida로 런타임 분석”
이런 흐름으로 진행하는 경우가 많다.

---

내가 툴을 사용할 때 중요하게 생각하는 부분

버그바운티를 하다 보면 툴 자체보다 더 중요한 건 왜 이 요청이 이상한지 판단하는 시각이라고 느낀다.
같은 Burp를 써도 누군가는 그냥 패킷만 보고 끝나고, 누군가는 그 안에서 인증 우회 가능성이나 권한 문제, 입력값 검증 문제를 찾아낸다.

그래서 나는 툴을 단순히 “스캔 도구”처럼 보기보다,
분석 결과를 확인하고 가설을 검증하는 도구로 생각하려고 한다.

결국 중요한 건

• 요청과 응답을 비교하는 습관
• 정상 흐름과 비정상 흐름을 나눠서 보는 습관
• 테스트한 내용을 기록하는 습관
  이 세 가지라고 생각한다.

---

마무리

버그바운티를 처음 시작하면 “무슨 툴을 써야 하지?”부터 고민하게 된다.
나도 처음에는 툴 종류만 계속 찾아봤는데, 실제로 해보니까 많이 쓰는 툴은 어느 정도 정해져 있었고, 중요한 건 그 툴을 이용해서 어떻게 분석 흐름을 만들고 재현하느냐였다.

웹은 Burp Suite와 Fiddler,
안드로이드는 Nox, Burp Suite, ADB, Frida 조합을 자주 사용하고 있다.

앞으로도 실제로 분석하면서 자주 쓰는 툴이나 설정 방법, 그리고 삽질했던 부분들을 하나씩 정리해볼 생각이다.

---

-> 다음 글에서는 Burp와 Nox를 연결하고 분석하는 방법을 정리해보겠다

(본 내용은 교육 및 합법적인 테스트 환경을 기준으로 작성되었으며, 이를 허가되지 않은 대상에 적용하거나 악용하여 발생하는 문제에 대해서는 작성자가 책임지지 않습니다.)