Co je Burp Suite?

Burp Suite je sada nástrojů od PortSwigger navržená tak, aby pomáhala při penetračním testování webových aplikací přes HTTP i HTTPS. Primárním nástrojem je proxy navržená tak, aby umožňovala analýzu a úpravu webového provozu. Proxy může zachycovat webové požadavky a odpovědi a číst je a upravovat je v reálném čase, než se dostanou do příslušných cílů. K dispozici jsou verze pro Windows, MacOS a Linux spolu se souborem JAR.

Samotný proxy vám umožňuje nakonfigurovat, které domény mají zachycován webový provoz a jaký druh provozu se zobrazuje. Například zachycování webových požadavků je užitečné, protože je můžete upravovat, abyste otestovali, jak web reaguje na neobvyklé požadavky, ale zachycovat odpovědi, protože nemá smysl je upravovat.

Mnoho nástrojů obsažených v Burp Suite je navrženo pro integraci s hlavním proxy serverem a lze do nich importovat požadavky. Intruder vám umožňuje importovat požadavek a poté nakonfigurovat uspořádání užitečného zatížení, které se má pokusit, a poté je může automaticky spustit. Opakovač vám umožňuje importovat webový požadavek a poté jej ručně upravit a zobrazit odpověď vedle sebe, což vám umožní provést drobné úpravy pokusů o zneužití a snadno zjistit, zda to funguje. Funkce řídicího panelu zobrazuje seznam identifikovaných problémů, i když je třeba ručně zkontrolovat, zda nejsou falešně pozitivní.

Tip: Sledování problémů je prémiová funkce, zatímco automatické útoky jsou v bezplatné verzi omezeny.

Sequencer je navržen tak, aby analyzoval náhodnost dat, jako jsou ID relace, tokeny CSRF a tokeny pro resetování hesla. Analýza vyžaduje více než 100 vzorků, ale dokáže identifikovat slabá místa v tom, jak jsou generovány údajně náhodné hodnoty. Decoder vám umožňuje dekódovat řetězce z řady kódovacích standardů a také vám umožňuje znovu kódovat data. Porovnávač umožňuje porovnat dva řetězce a zkontrolovat drobné rozdíly.

V rámci aplikace je zdarma k dispozici široká škála komunitně napsaných rozšíření, i když některá vyžadují funkce omezené na placenou verzi Burp Suite. Bezplatná verze Burp Suite podporuje většinu funkcí, profesionální licence k odemknutí všech funkcí stojí 399 USD ročně, zatímco „podniková edice“ stojí 3999 USD ročně plus 399 USD za skenovacího agenta, kterého lze přidat pouze v dávkách po 10.