HTTP 아카이브(HAR) 형식 파일은 HTTP 요청 및 HTTP 응답에 대한 정보를 교환하기 위한 업계 표준입니다. HAR 파일의 내용은 JSON 형식으로 웹 사이트와의 브라우저 상호 작용을 포함합니다. .har 파일 확장자가 일반적으로 사용됩니다.

HAR 파일은 CI/CD 파이프라인에서 웹 API 퍼즈 테스팅을 수행하는 데 사용할 수 있습니다.

HAR 파일 생성#

HAR 파일을 수동으로 생성하거나 웹 세션을 녹화하는 전문 도구를 사용하여 생성할 수 있습니다. 전문 도구 사용을 권장합니다. 그러나 이러한 도구로 생성된 파일이 민감한 정보를 노출하지 않고 안전하게 사용할 수 있는지 확인하는 것이 중요합니다.

다음 도구를 사용하여 네트워크 활동을 기반으로 HAR 파일을 생성할 수 있습니다. 이러한 도구는 네트워크 활동을 자동으로 기록하고 HAR 파일을 생성합니다:

• GitLab HAR recorder
• Insomnia API client
• Fiddler debugging proxy
• Safari 웹 브라우저
• Chrome 웹 브라우저
• Firefox 웹 브라우저

GitLab HAR recorder#

GitLab HAR Recorder는 HTTP 메시지를 기록하고 HAR 파일로 저장하는 명령줄 도구입니다.

GitLab HAR recorder 설치#

필수 조건:

• Python 3.6 이상을 설치합니다.
• Microsoft Windows의 경우 Microsoft Visual C++ 14.0도 설치해야 합니다. Visual Studio 다운로드 페이지의 Visual Studio 빌드 도구에 포함되어 있습니다.
• HAR Recorder를 설치합니다.

GitLab HAR recorder 설치:

pip install gitlab-har-recorder --extra-index-url https://gitlab.com/api/v4/projects/22441624/packages/pypi/simple

GitLab HAR recorder로 HAR 파일 만들기#

1. 프록시 포트와 HAR 파일 이름으로 레코더를 시작합니다.
2. 프록시를 사용하여 브라우저 작업을 완료합니다.
   1. 프록시가 사용되고 있는지 확인합니다!
3. 레코더를 중지합니다.

Insomnia API client#

Insomnia API client는 여러 용도 중에서 API를 설계, 설명 및 테스트하는 데 도움이 되는 API 설계 도구입니다. 웹 API 퍼즈 테스팅에 사용할 수 있는 HAR 파일을 생성하는 데도 사용할 수 있습니다.

Insomnia API client로 HAR 파일 만들기#

1. API를 정의하거나 가져옵니다.
   • Postman v2.
   • Curl.
   • OpenAPI v2, v3.
2. 각 API 호출이 작동하는지 확인합니다.
   • OpenAPI 사양을 가져온 경우 작동하는 데이터를 추가합니다.
3. API > 가져오기/내보내기를 선택합니다.
4. 데이터 내보내기 > 현재 작업 공간을 선택합니다.
5. HAR 파일에 포함할 요청을 선택합니다.
6. 내보내기를 선택합니다.
7. 내보내기 유형 선택 드롭다운 목록에서 HAR -- HTTP Archive Format을 선택합니다.
8. 완료를 선택합니다.
9. HAR 파일의 위치와 파일 이름을 입력합니다.

Fiddler debugging proxy#

Fiddler는 웹 디버거 도구입니다. HTTP 및 HTTP(S) 네트워크 트래픽을 캡처하고 각 요청을 검사할 수 있습니다. 또한 HAR 형식으로 요청과 응답을 내보낼 수 있습니다.

Fiddler로 HAR 파일 만들기#

1. Fiddler 홈 페이지로 이동하여 로그인합니다. 아직 계정이 없는 경우 계정을 만듭니다.
2. API를 호출하는 페이지를 탐색합니다. Fiddler가 요청을 자동으로 캡처합니다.
3. 하나 이상의 요청을 선택하고 컨텍스트 메뉴에서 내보내기 > 선택된 세션을 선택합니다.
4. 형식 선택 드롭다운 목록에서 HTTPArchive v1.2를 선택합니다.
5. 파일 이름을 입력하고 저장을 선택합니다.

Fiddler는 내보내기가 성공했음을 확인하는 팝업 메시지를 표시합니다.

Safari 웹 브라우저#

Safari는 Apple이 유지 관리하는 웹 브라우저입니다. 웹 개발이 발전함에 따라 브라우저는 새로운 기능을 지원합니다. Safari를 사용하면 네트워크 트래픽을 탐색하고 HAR 파일로 내보낼 수 있습니다.

Safari로 HAR 파일 만들기#

필수 조건:

• Develop 메뉴 항목을 활성화합니다.
  1. Safari 환경 설정을 엽니다. Command+,를 누르거나 메뉴에서 Safari > 환경 설정을 선택합니다.
  2. 고급 탭을 선택한 다음 메뉴 막대에 개발자 메뉴 표시를 선택합니다.
  3. 환경 설정 창을 닫습니다.

1. 웹 검사기를 엽니다. Option+Command+i를 누르거나 메뉴에서 개발 > 웹 검사기 표시를 선택합니다.
2. 네트워크 탭을 선택하고 로그 보존을 선택합니다.
3. API를 호출하는 페이지를 탐색합니다.
4. 웹 검사기를 열고 네트워크 탭을 선택합니다
5. 내보낼 요청을 마우스 오른쪽 버튼으로 클릭하고 HAR 내보내기를 선택합니다.
6. 파일 이름을 입력하고 저장을 선택합니다.

Chrome 웹 브라우저#

Chrome은 Google이 유지 관리하는 웹 브라우저입니다. 웹 개발이 발전함에 따라 브라우저는 새로운 기능을 지원합니다. Chrome을 사용하면 네트워크 트래픽을 탐색하고 HAR 파일로 내보낼 수 있습니다.

Chrome으로 HAR 파일 만들기#

1. Chrome 컨텍스트 메뉴에서 검사를 선택합니다.
2. 네트워크 탭을 선택합니다.
3. 로그 보존을 선택합니다.
4. API를 호출하는 페이지를 탐색합니다.
5. 하나 이상의 요청을 선택합니다.
6. 마우스 오른쪽 버튼을 클릭하고 콘텐츠를 포함하여 모두 HAR로 저장을 선택합니다.
7. 파일 이름을 입력하고 저장을 선택합니다.
8. 추가 요청을 추가하려면 선택하고 동일한 파일에 저장합니다.

Firefox 웹 브라우저#

Firefox는 Mozilla가 유지 관리하는 웹 브라우저입니다. 웹 개발이 발전함에 따라 브라우저는 새로운 기능을 지원합니다. Firefox를 사용하면 네트워크 트래픽을 탐색하고 HAR 파일로 내보낼 수 있습니다.

Firefox로 HAR 파일 만들기#

1. Firefox 컨텍스트 메뉴에서 검사를 선택합니다.
2. 네트워크 탭을 선택합니다.
3. API를 호출하는 페이지를 탐색합니다.
4. 네트워크 탭을 확인하고 요청이 기록되고 있는지 확인합니다. 네트워크 활동에 대한 자세한 정보를 보려면 요청을 수행하거나 페이지를 새로 고침하세요라는 메시지가 있으면 새로 고침을 선택하여 요청 기록을 시작합니다.
5. 하나 이상의 요청을 선택합니다.
6. 마우스 오른쪽 버튼을 클릭하고 모두 HAR로 저장을 선택합니다.
7. 파일 이름을 입력하고 저장을 선택합니다.
8. 추가 요청을 추가하려면 선택하고 동일한 파일에 저장합니다.

HAR 검증#

HAR 파일을 사용하기 전에 민감한 정보를 노출하지 않는지 확인하는 것이 중요합니다.

각 HAR 파일에 대해 다음을 수행해야 합니다:

• HAR 파일의 내용 보기
• 민감한 정보에 대한 HAR 파일 검토
• 민감한 정보 편집 또는 제거

HAR 파일 내용 보기#

HAR 파일의 내용을 구조화된 방식으로 표시할 수 있는 도구에서 보는 것을 권장합니다. 온라인에서 여러 HAR 파일 뷰어를 사용할 수 있습니다. HAR 파일을 업로드하지 않으려면 컴퓨터에 설치된 도구를 사용할 수 있습니다. HAR 파일은 JSON 형식을 사용하므로 텍스트 편집기에서도 볼 수 있습니다.

HAR 파일 보기에 권장되는 도구:

• HAR Viewer - (온라인)
• Google Admin Toolbox HAR Analyzer - (온라인)
• Fiddler - 로컬
• Insomnia API Client - 로컬

HAR 파일 내용 검토#

다음 사항에 대해 HAR 파일을 검토합니다:

• 애플리케이션에 대한 액세스 권한을 부여할 수 있는 정보(예: 인증 토큰, 인증 토큰, 쿠키, API 키).
• 개인 식별 가능 정보(PII).

편집하거나 제거할 것을 강력히 권장합니다.

시작을 위해 다음을 체크리스트로 사용합니다. 이것은 완전한 목록이 아닙니다.

• 비밀을 찾습니다. 예를 들어: 애플리케이션에 인증이 필요한 경우 인증 정보의 일반적인 위치를 확인합니다:
  • 인증 관련 헤더. 예를 들어: 쿠키, 권한 부여. 이러한 헤더에는 유효한 정보가 포함될 수 있습니다.
  • 인증과 관련된 요청. 이러한 요청의 본문에는 사용자 자격 증명이나 토큰과 같은 정보가 포함될 수 있습니다.
  • 세션 토큰. 세션 토큰은 애플리케이션에 대한 액세스 권한을 부여할 수 있습니다. 이러한 토큰의 위치는 다양할 수 있습니다. 헤더, 쿼리 매개변수 또는 본문에 있을 수 있습니다.
• 개인 식별 가능 정보를 찾습니다
  • 예를 들어: 애플리케이션이 사용자 목록과 개인 데이터(전화, 이름, 이메일)를 검색하는 경우.
  • 인증 정보에도 개인 정보가 포함될 수 있습니다.

민감한 정보 편집 또는 제거#

HAR 파일 내용 검토 중에 발견된 민감한 정보를 편집하거나 제거합니다. HAR 파일은 JSON 파일이며 모든 텍스트 편집기에서 편집할 수 있습니다.

HAR 파일을 편집한 후 HAR 파일 뷰어에서 열어 형식과 구조가 그대로인지 확인합니다.