이 FiddlerScript는 Fiddler Classic 전용으로 동작하며 모의해킹 업무에 대한 효율을 높이기 위해서 만든 커스텀 스크립트 입니다.
⚠️ 주의: Fiddler Everywhere에서는 지원되지 않습니다.
-
Fiddler Classic 설치
- https://www.telerik.com/fiddler
- Fiddler Everywhere가 아닌 "Classic" 버전을 사용해야 합니다.
-
스크립트 적용
Documents\Fiddler2\Scripts\CustomRules.js에 덮어쓰기
(기존 파일은 백업 권장)
또는,
- Fiddler 실행 후
Rules > Customize Rules클릭 - 열리는 편집기에 커스텀 스크립트를 붙여넣고 저장
-
FiddlerScript Editor 설치 (선택)
- 경로:
%localappdata%\Programs\Fiddler\ScriptEditor\FSE2.exe - 더 편리한 스크립트 편집용
- 경로:
- Fiddler 실행 및 트래픽 캡처 시작
Rules > Pen&Testing메뉴에서 탐지 옵션 활성화- 세션 색상 및 굵기, 코멘트로 탐지 결과 확인
- 우클릭 메뉴로 세부 분석 실행
- 리포트 및 종합 통계 생성 (
Tools > Generate Report)
| 기능명 | 설명 |
|---|---|
| Highlight Dev/Test Endpoints | staging, localhost, qa 등 환경 키워드 탐지 |
| Detect Sensitive Data | password, api_key, email 등 민감 정보 탐지 |
| Highlight Error Messages | SQL 오류, 스택 트레이스 등 예외 메시지 탐지 |
| Detect JWT Tokens | JWT 토큰 자동 탐지 (요청/응답) |
| Detect 공격 패턴 (SQLi/XSS/Traversal) | 일반적인 웹 공격 패턴 탐지 |
| Highlight Admin Panels | /admin, /login 등 인증 경로 탐지 |
| Flag Weak Security Headers | CSP, X-Frame-Options 등의 누락 감지 |
| 기능 | 설명 |
|---|---|
| Extract Sensitive Data | 민감 정보 추출 및 리포트화 |
| Scan for Vulnerabilities | XSS, SQLi, 디렉터리 트래버설 스캔 |
| Analyze Security Headers | 보안 헤더 존재 여부 확인 |
| Analyze Cookie Security | HttpOnly, Secure, SameSite 여부 검사 |
| Check Auth Bypass Potential | 인증 우회 가능성 분석 |
| Decode Selected Sessions | Gzip/Deflate 등 인코딩 해제 |
| 기능 | 설명 |
|---|---|
| Select Dev/Test Sessions | Dev/Test로 분류된 세션 자동 선택 |
| Select All Sensitive Sessions | 민감 정보 및 오류 세션 일괄 선택 |
| Select Error Responses | 4xx/5xx 응답 세션 필터링 |
| Generate Penetration Test Report | 전체 분석 통계 및 리포트 자동 생성 |
| Breakpoint 설정 | URI, Method, Status 코드 기반 조건 중단점 설정 |
| 색상 | 의미 |
|---|---|
| 🔴 Red | 민감 정보 포함, 오류 응답(4xx/5xx) |
| 🟠 Orange | 에러 메시지 (stack trace 등) |
| 🟣 Purple | Dev/Test 환경 키워드 포함 |
| 🟡 Yellow | JWT 토큰 포함 |
| 🟦 Teal | 기타 일반 탐지 항목 |
| 굵은 글씨 | 탐지 항목 포함 세션 |
ui-comments |
탐지된 항목에 대한 코멘트 표시 |
Rules메뉴에서 탐지 기능 켜기Tools > Select All Sensitive Sessions로 자동 필터- 우클릭 →
Scan for Vulnerabilities실행 Tools > Generate Penetration Test Report로 리포트 확인- 주요 세션 직접 확인 및 구조 분석
| 유형 | 예시 |
|---|---|
| 민감 정보 | password="abc123", api_key=... |
| JWT | Authorization: Bearer eyJ... |
| Dev URL | /staging/api, http://127.0.0.1 |
| SQLi | ' OR 1=1 --, UNION SELECT ... |
| XSS | <script>alert(1)</script> |
| 디렉터리 트래버설 | ../../etc/passwd, %2e%2e%2f |
| 보안 헤더 누락 | CSP, X-Frame-Options 없음 |
| 인증 우회 | /admin 경로에 200 응답 등 |
| 항목 | 기본 (SampleRules.js) | 커스텀 스크립트 |
|---|---|---|
| 목적 | 단순 디버깅용 | 모의해킹 및 보안 분석 자동화 |
| 메뉴 확장 | 없음 | Rules, Tools, ContextMenu 확장 |
| 탐지 기능 | 수동 또는 제한적 | Dev/Test, 민감 정보, JWT, 에러 탐지 등 |
| 공격 패턴 | 없음 | SQLi, XSS, 디렉터리 트래버설 탐지 |
| 리포트 | 없음 | 종합 보안 리포트 생성 지원 |
| UI | 단순 색상 | 색상 + 굵기 + 설명 코멘트 |
| 브레이크포인트 | 제한적 | 다양한 조건 기반 설정 가능 |
| 쿠키/헤더 분석 | 없음 | 분석 및 취약점 감지 자동화 |
- 이 스크립트는 개인적으로 커스터마이징한 것으로, 원본 SampleRules.js와 비교해 큰 차이가 없을 수도 있습니다.
- 사용 중 불편하거나 기능이 부족하다고 느껴지면, 직접 수정하거나 커스텀해서 사용해도 전혀 문제 없습니다. 자유롭게 다운로드 해가셔서 쓰세요.
- 앞으로도 사용하면서 불편함이 발견되면 작은 단위로 계속 업데이트할 계획입니다. 개선 아이디어나 요청도 언제든 환영합니다!
- 이 스크립트는 Fiddler Classic 전용입니다. Fiddler Everywhere에서는 작동하지 않습니다.
- 정적 탐지 기반이며 실제 취약점은 수동 확인 필요합니다.
- 민감 정보 탐지는 정규표현식 기반으로, 완벽하지 않을 수 있습니다.
이 도구는 교육용, 보안 점검 및 합법적인 테스트 환경에서 사용해야 합니다.
무단 침입, 악의적 사용은 관련 법률에 의해 처벌될 수 있습니다.