Τι είναι η Burp Suite;

Το Burp Suite είναι μια σουίτα εργαλείων από την PortSwigger που έχει σχεδιαστεί για να βοηθά στη δοκιμή διείσδυσης εφαρμογών web τόσο σε HTTP όσο και σε HTTPS. Το κύριο εργαλείο είναι ένας διακομιστής μεσολάβησης που έχει σχεδιαστεί για να επιτρέπει την ανάλυση και την επεξεργασία της κυκλοφορίας ιστού. Ο διακομιστής μεσολάβησης μπορεί να υποκλέψει αιτήματα και απαντήσεις ιστού και να τα διαβάσει και να τα επεξεργαστεί σε πραγματικό χρόνο πριν φτάσουν στους αντίστοιχους προορισμούς τους. Οι εκδόσεις είναι διαθέσιμες για Windows, MacOS και Linux, μαζί με ένα αρχείο JAR.

Ο ίδιος ο διακομιστής μεσολάβησης σάς επιτρέπει να διαμορφώσετε σε ποιους τομείς παρεμποδίζεται η κυκλοφορία ιστού τους και τι είδους επισκεψιμότητα εμφανίζεται. Για παράδειγμα, η υποκλοπή αιτημάτων ιστού είναι χρήσιμη, καθώς μπορείτε να τα επεξεργαστείτε για να ελέγξετε πώς αντιδρά ο ιστότοπος σε ασυνήθιστα αιτήματα, ωστόσο η υποκλοπή των απαντήσεων καθώς δεν έχει νόημα να τα επεξεργαστείτε.

Πολλά από τα εργαλεία που περιλαμβάνονται στο Burp Suite έχουν σχεδιαστεί για να ενσωματώνονται με τον κύριο διακομιστή μεσολάβησης και μπορούν να εισάγουν αιτήματα σε αυτόν. Το Intruder σάς επιτρέπει να εισαγάγετε ένα αίτημα και στη συνέχεια να ρυθμίσετε τις παραμέτρους των ωφέλιμων φορτίων που θα επιχειρήσετε και στη συνέχεια να τα εκτελέσετε αυτόματα. Το Repeater σάς επιτρέπει να εισαγάγετε ένα αίτημα Ιστού και στη συνέχεια να κάνετε μη αυτόματες τροποποιήσεις σε αυτό και να δείτε την απόκριση δίπλα-δίπλα, επιτρέποντάς σας να κάνετε μικρές προσαρμογές σε απόπειρες εκμεταλλεύσεων και να δείτε εύκολα αν λειτουργεί. Μια δυνατότητα πίνακα εργαλείων εμφανίζει μια λίστα με εντοπισμένα προβλήματα, αν και αυτά πρέπει να ελέγχονται με μη αυτόματο τρόπο για ψευδώς θετικά.

Συμβουλή: Το πρόγραμμα παρακολούθησης ζητημάτων είναι ένα χαρακτηριστικό premium, ενώ οι αυτοματοποιημένες επιθέσεις είναι περιορισμένες σε ποσοστό στη δωρεάν έκδοση.

Το Sequencer έχει σχεδιαστεί για να αναλύει την τυχαιότητα δεδομένων όπως τα αναγνωριστικά περιόδου σύνδεσης, τα διακριτικά CSRF και τα διακριτικά επαναφοράς κωδικού πρόσβασης. Η ανάλυση απαιτεί περισσότερα από 100 δείγματα, αλλά μπορεί να εντοπίσει αδυναμίες στον τρόπο με τον οποίο δημιουργούνται υποτιθέμενες τυχαίες τιμές. Ο αποκωδικοποιητής σάς επιτρέπει να αποκωδικοποιήσετε συμβολοσειρές από μια σειρά προτύπων κωδικοποίησης, καθώς και να σας επιτρέπει να κωδικοποιήσετε ξανά δεδομένα. Το Comparer σάς επιτρέπει να συγκρίνετε δύο συμβολοσειρές για να ελέγξετε για μικρές διαφορές.

Ένα ευρύ φάσμα επεκτάσεων που έχουν γραφτεί από την κοινότητα είναι διαθέσιμο δωρεάν μέσα από την εφαρμογή, αν και ορισμένες απαιτούν λειτουργίες που περιορίζονται στην πληρωμένη έκδοση του Burp Suite. Η δωρεάν έκδοση του Burp Suite υποστηρίζει τις περισσότερες δυνατότητες, μια επαγγελματική άδεια για το ξεκλείδωμα όλων των λειτουργιών κοστίζει 399 $ το χρόνο, ενώ μια «enterprise edition» κοστίζει 3999 $ το χρόνο, συν 399 $ ανά παράγοντα σάρωσης που μπορεί να προστεθεί μόνο σε παρτίδες των 10.