Burp Suite — 웹 요청 가로채기·수동 테스트의 중심
웹 애플리케이션 테스트의 사실상 표준 프록시. Repeater·Intruder·Scanner·Extensions의 조합과, 다른 자동화 도구에 전달하는 ‘요청 저장’ 워크플로우.
Web
sqlmap — SQL Injection 자동 탐지·악용
SQL Injection 탐지·식별·악용의 사실상 표준 도구. request 캡처 파일을 넘기는 패턴이 실전형이고, –risk/–level 조정으로 WAF를 자극하지 않는 범위를 유지하는 게 핵심.
ffuf로 디렉터리/엔드포인트 열거
ATT&CK T1595.003 Wordlist Scanning에서 웹 경로/파라미터 열거의 표준 도구. soft-404 캘리브레이션과 상태 필터링을 조합하는 패턴 정리.
Nuclei로 템플릿 기반 취약점 스캔
ATT&CK T1595.002에서 웹/API 레이어 취약점 식별의 사실상 표준 도구. YAML 템플릿 기반이라 CVE 커버리지 증식이 빠르고, 자체 템플릿 작성도 쉽다.