Burp Suiteをご存じですか？

Webアプリケーションのセキュリティテストツールとして、その界隈ではメジャーなソフトです。
類似製品にZed Attack Proxy（ZAP）やFiddlerなどがあります。

私は10年ほど前にとあるセキュリティ勉強会に参加して、このツールの存在を知りました。
ツールはローカルプロキシとして動作し、トラフィックを透過的に監視・変更ができる機能や、過去のリクエストを再送信するテストに便利な機能、セキュリティスキャン機能などがあります。

初めて知った当時、ユーザリクエストやサーバレスポンスを変更できるというところに衝撃を受けました。
もちろんそれまでも知識としては知っていましたが、体験するとインパクトは大きかったです。
WebUIで入力値の制限をかけるだけではいくらでも改変できてしまうんだな…と。

興味のある人は無料のCommunity Editionがありますので試してみてください。
インストールは「次へ」だけでほぼ進めますし、設定・使用方法はググれば出てきます。
設定を変更しなくてもデフォルトでも動きますのでそのあたりは省略します。
ちょっと書くと、プロキシのリスナーポートがデフォルトだとループバックアドレスの8080なので、他と被ってるなど変更したい人は変更しましょう。
あとはブラウザのプロキシ設定を変更するだけです。

最後に2つほど注意点を。

• テストに使用するブラウザは「綺麗」なものを使用しましょう
  プラグインてんこ盛りやアカウント同期などを使っていない素のブラウザを使いましょう。
  余計な通信がなくて見やすいです。

• テストは自身所有のサーバに対して行いましょう
  当たり前ですが、よそ様のサーバに対して行ってはいけません。
  犯罪とみなされる恐れがあります。