Burp Suite Community Edition

어떤 작업과 사용자에게 맞는가

웹 요청 구조를 배우는 학습자, 인증·권한 처리 오류를 재현하는 개발자, 개별 동작을 수동으로 점검하는 보안 담당자에게 적합하다. 화면에서 수행한 행동이 어떤 URL, 쿠키, 요청 본문으로 전달되는지 확인하고 서버의 실제 응답을 분석하는 데 초점을 둔다.

자동으로 사이트 전체를 검사하는 기능은 Community Edition에 포함되지 않는다. 사용할 때는 직접 관리하거나 테스트 허가를 받은 서비스와 실습 환경을 대상으로 작업 범위를 정한다.

macOS 지원과 버전 검토

2026-10-09 확인 기준 공식 배포 목록의 최신 Professional / Community 안정판은 2026.9.1이며, 공개 시각은 10월 7일 13:50 UTC다. 배포 페이지에는 macOS ARM64와 x64용 DMG가 각각 제공된다. 시스템 요구사항은 최신 macOS 계열을 지원 대상으로 안내하며 Windows와 Linux도 지원한다.

기본 작업의 최소 사양은 CPU 2코어·RAM 4GB, 권장 RAM은 16GB이며 기본 설치 공간은 1GB다. Apple Silicon에서 내장 브라우저를 사용하려면 JAR 실행 방식 대신 네이티브 설치 파일을 선택해야 한다. 최근 안정판 배포가 확인되어 지원 종료 제품으로 분류할 근거는 없다.

설치와 첫 요청 확인 순서

공식 다운로드 경로에서 Mac의 칩에 맞는 설치 파일을 선택하고, 설치 후 Burp를 실행한다. 공식 시작 안내는 초기 프로젝트·설정 선택 화면에서 Next, 이어서 Start Burp로 기본 구성을 시작하도록 설명한다.

Proxy > Intercept에서 Open Browser로 내장 브라우저를 연다. Intercept on 상태에서 테스트 페이지에 접속하면 요청이 멈추므로 내용을 확인한 뒤 Forward로 전달한다. 이후 Intercept off로 바꾸면 페이지를 탐색하면서 Proxy > HTTP history에서 요청과 응답을 계속 확인할 수 있다. 분석할 요청을 우클릭해 Send to Repeater로 보내는 것이 다음 작업이다.

실무 예시: 권한 오류 재현

예를 들어 사내 테스트 환경에서 두 테스트 계정의 주문 조회 권한을 확인할 수 있다. 첫 계정으로 자신의 주문을 조회하고 해당 요청을 Repeater로 보낸다. 로그인 쿠키는 유지하면서 주문 식별자만 다른 테스트 계정의 주문 값으로 바꿔 전송한다.

서버가 접근을 거부하는지, 다른 계정의 주문 내용을 반환하는지 확인하고 원래 응답과 변경 후 응답을 Comparer로 비교한다. 상태 코드뿐 아니라 본문의 실제 데이터도 함께 살펴본다. 재현 기록에는 계정 조건, 변경한 값, 기대 결과와 실제 결과를 적어 개발자가 같은 조건으로 수정 여부를 확인하게 한다.

무료판 범위와 유료판 선택

Community Edition은 무료이며 Proxy와 통신 기록, Repeater, Decoder, Sequencer, Comparer를 포함한다. Intruder는 공식 비교표에서 데모로 표시되므로 전체 기능을 제공하는 판으로 이해하면 안 된다.

유료 Professional에는 프로젝트 파일 저장, 정식 Intruder, 웹 취약점 스캐너, 자동 크롤링, 검색, Collaborator 기반 외부 상호작용 테스트와 Pro 전용 확장 기능이 추가된다. 여러 날에 걸쳐 작업 상태를 보존하거나 반복 검사와 자동 탐색이 필요하면 이 차이를 검토한다. 단일 요청의 수동 분석과 학습이 중심이라면 무료판의 도구 범위부터 판단할 수 있다.

페이지 멈춤과 HTTPS 문제 확인 순서

브라우저가 계속 기다리면 먼저 Proxy > Intercept에 보류된 요청이 있는지 확인하고 Intercept off로 전환한다. 다음으로 다른 도메인 접속, Proxy listener의 Running 상태, 포트 충돌 여부를 순서대로 확인한다.

외부 브라우저를 사용할 때는 프록시 주소·포트가 Burp listener와 일치해야 한다. 기본값은 127.0.0.1:8080이다. HTTP history가 비어 있으면 브라우저의 프록시 적용을 확인하고, HTTP만 기록되면 HTTPS에도 프록시가 적용됐는지 살핀다. HTTPS 인증서 경고나 일부 리소스 로딩 오류는 Burp CA 인증서 신뢰 설정을 확인한다. 해결되지 않으면 상위 프록시 설정과 Event log를 점검한다.

다른 도구와 선택 기준

무료·오픈소스 웹 앱 스캐너와 보안 자동화가 우선이라면 ZAP을 함께 검토할 수 있다. ZAP 공식 홈페이지는 무료 스캐너와 자동화 옵션을 안내한다. 반면 Burp Community는 캡처한 요청을 Repeater로 보내 수정하고, Decoder와 Comparer로 분석하는 수동 작업에 선택 기준을 둘 수 있다.

Burp의 작업 방식을 유지하면서 자동 검사, 프로젝트 저장, 정식 Intruder가 필요하다면 Professional과 비교한다. 도구의 명성보다 실제로 필요한 것이 개별 요청 재현인지, 반복 자동 검사인지, 장기 작업 보존인지 먼저 정하는 편이 판단에 도움이 된다.

공식 안내

• Burp - Web Application Security, Testing, & Scanning - PortSwigger · 확인 2026-10-09
• Download Burp Suite Community Edition · 확인 2026-10-09
• Professional / Community 2026.9.1 · 확인 2026-10-09
• Burp Suite system requirements · 확인 2026-10-09
• Download and install · 확인 2026-10-09
• Intercept HTTP traffic with Burp Proxy · 확인 2026-10-09
• Working with HTTP messages in Burp Repeater · 확인 2026-10-09
• Burp Comparer · 확인 2026-10-09
• Troubleshooting common errors within Burp Suite · 확인 2026-10-09
• Zed Attack Proxy (ZAP) · 확인 2026-10-09