Čo je to Burp Suite?

Burp Suite je sada nástrojov od spoločnosti PortSwigger navrhnutých na pomoc pri penetračnom testovaní webových aplikácií cez HTTP aj HTTPS. Primárnym nástrojom je proxy určený na analýzu a úpravu návštevnosti webu. Proxy môže zachytávať webové požiadavky a odpovede a čítať a upravovať ich v reálnom čase predtým, ako sa dostanú do príslušných cieľov. Verzie sú dostupné pre Windows, MacOS a Linux spolu so súborom JAR.

Samotný proxy vám umožňuje konfigurovať, ktoré domény majú zachytenú webovú návštevnosť a aký druh návštevnosti sa zobrazuje. Napríklad zachytávanie webových požiadaviek je užitočné, pretože ich môžete upravovať, aby ste otestovali, ako webová lokalita reaguje na nezvyčajné požiadavky, avšak zachytávanie odpovedí, pretože nemá zmysel ich upravovať.

Mnohé z nástrojov zahrnutých v Burp Suite sú navrhnuté tak, aby sa integrovali s hlavným proxy serverom a môžu do nich importovať požiadavky. Intruder vám umožňuje importovať požiadavku a potom nakonfigurovať usporiadanie užitočných zaťažení na pokus a potom ich môže automaticky spustiť. Repeater vám umožňuje importovať webovú požiadavku a potom ju manuálne upravovať a vidieť odpoveď vedľa seba, čo vám umožňuje vykonať menšie úpravy pokusov o zneužitie a ľahko zistiť, či funguje. Funkcia palubnej dosky zobrazuje zoznam zistených problémov, aj keď je potrebné manuálne skontrolovať, či nie sú falošne pozitívne.

Tip: Sledovanie problémov je prémiová funkcia, zatiaľ čo automatické útoky sú v bezplatnej verzii obmedzené.

Sequencer je navrhnutý tak, aby analyzoval náhodnosť údajov, ako sú ID relácie, tokeny CSRF a tokeny na obnovenie hesla. Analýza vyžaduje viac ako 100 vzoriek, ale dokáže identifikovať slabé miesta v tom, ako sa generujú údajne náhodné hodnoty. Dekodér vám umožňuje dekódovať reťazce z radu kódovacích štandardov a tiež vám umožňuje znova kódovať dáta. Porovnávač vám umožňuje porovnať dva reťazce, aby ste skontrolovali menšie rozdiely.

V rámci aplikácie je bezplatne k dispozícii široká škála rozšírení napísaných komunitou, hoci niektoré vyžadujú funkcie obmedzené na platenú verziu balíka Burp Suite. Bezplatná verzia Burp Suite podporuje väčšinu funkcií, profesionálna licencia na odomknutie všetkých funkcií stojí 399 dolárov ročne, zatiaľ čo „podniková edícia“ stojí 3 999 dolárov ročne plus 399 dolárov za skenovacieho agenta, ktorý je možné pridať len v dávkach po 10.