[보안점검도구] Fiddler(피들러)

Fiddler(피들러)는 Telerik(현재 Progress)사에서 제공하는 강력한 웹 디버깅 프록시(Web Debugging Proxy) 도구입니다.

 

Burp Suite가 '보안 점검 및 해킹'에 특화되어 있다면, Fiddler는 '웹 애플리케이션 개발, API 디버깅, 네트워크 성능 분석'에 초점이 맞춰져 전 세계 개발자와 QA 엔지니어들이 널리 사용하는 툴입니다.

---

작동 원리: 디버깅 프록시

Fiddler의 기본 원리는 Burp Suite와 동일하게 로컬 프록시(Local Proxy)로 동작하는 것입니다.

 

PC에 Fiddler를 실행하면, 운영체제의 네트워크 설정에 Fiddler가 프록시 서버로 자동 등록됩니다. 이후 브라우저나 데스크톱 애플리케이션에서 발생하는 모든 HTTP 및 HTTPS 트래픽이 외부로 나가기 전에 Fiddler를 거치게 되며, 이를 통해 데이터를 캡처, 분석, 조작할 수 있습니다. 자체 인증서를 설치하면 암호화된 HTTPS 트래픽도 평문으로 복호화하여 볼 수 있습니다.

---

주요 기능 및 활용 예시

• Traffic Inspector (트래픽 분석기):
  • 원리: 클라이언트와 서버 간에 오가는 요청(Request)과 응답(Response)의 헤더(Header), 쿠키, JSON, XML 데이터 등을 상세하게 분석합니다.
  • 예시: 프론트엔드 개발자가 자신이 만든 웹 페이지에서 백엔드 API로 데이터를 전송할 때, 파라미터가 정확하게 담겨서 전송되는지 눈으로 확인할 수 있습니다.
• AutoResponder (자동 응답기):
  • 원리: 특정 URL로 가는 요청을 가로채서 서버까지 보내지 않고, Fiddler가 미리 설정해둔 로컬 파일이나 응답 값을 대신 반환하도록 규칙을 설정하는 기능입니다.
  • 예시: 백엔드 API 서버가 아직 개발 중이거나 장애가 났을 때, Fiddler의 AutoResponder에 가짜 JSON 응답 데이터를 매핑해두면 프론트엔드 UI 개발을 중단 없이 계속 진행할 수 있습니다.
• Composer (요청 작성기):
  • 원리: HTTP 요청을 사용자가 처음부터 직접 작성하거나, 이전에 캡처된 요청의 특정 값만 수정하여 서버로 다시 전송합니다. (Burp Suite의 Repeater와 유사한 기능입니다.)
  • 예시: 서버 API의 특정 예외 처리 로직을 테스트하기 위해, 정상적인 요청 데이터 중 일부러 잘못된 값을 넣어 서버에 전송해 보고 에러 코드가 잘 떨어지는지 확인합니다.
• Performance Testing (성능 분석):
  • 원리: 각 웹 리소스(이미지, 스크립트 등)가 다운로드되는 데 걸리는 시간(Timeline)과 용량을 직관적으로 보여줍니다.

---

Fiddler vs Burp Suite 비교

두 도구 모두 프록시 기반으로 동작하지만, 설계 목적과 주로 사용하는 기능에서 큰 차이가 있습니다.

구분	Fiddler (피들러)	Burp Suite (버프 스위트)
주요 목적	웹/API 개발, 디버깅, 테스트, 성능 분석	웹 애플리케이션 보안 점검, 모의 해킹
주 사용층	프론트엔드/백엔드 개발자, QA 엔지니어	보안 컨설턴트, 화이트해커
핵심 특화 기능	AutoResponder (응답 가로채기 및 조작) 네트워크 타임라인 분석	Intruder (무차별 대입 및 자동화 공격) Scanner (취약점 자동 스캔)
사용 환경	일반적인 웹 개발 및 유지보수 과정	서비스 오픈 전/후의 보안 감사 과정