Einleitung
In diesem Lab lernen Sie die wesentliche Fähigkeit, einen Zielumfang (target scope) in Burp Suite zu definieren. Burp Suite ist ein leistungsstarkes Proxy-Tool, das für das Testen der Sicherheit von Webanwendungen verwendet wird. Die Definition eines Umfangs ist der erste kritische Schritt bei jedem Engagement, da sie Burp Suite anweist, welche Ziele Teil Ihres Tests sind. Dies hilft Ihnen, Ihre Aufmerksamkeit zu fokussieren, irrelevante Datenströme herauszufiltern und, was am wichtigsten ist, zu verhindern, dass Sie versehentlich Systeme testen, die nicht Teil Ihres autorisierten Engagements sind.
Am Ende dieses Labs werden Sie in der Lage sein, eine Zielanwendung zu Ihrem Umfang hinzuzufügen und den Umfangsfilter (scope filter) zu verwenden, um nur relevante Datenströme anzuzeigen.
Zielanwendung aufrufen, um die Site Map zu füllen
In diesem Schritt starten Sie Burp Suite und dessen integrierten Browser. Anschließend navigieren Sie zu einer Zielwebsite, um Datenverkehr zu generieren. Dieser Datenverkehr wird vom Proxy von Burp abgefangen, der automatisch eine Karte der Struktur der Zielanwendung erstellt.
Zuerst starten wir Burp Suite.
- Klicken Sie im Menü oben links auf dem Bildschirm auf Applications.
- Navigieren Sie zu Other und klicken Sie auf Burp Suite Community Edition.
- Ein Dialogfeld wird angezeigt. Wählen Sie Temporary project und klicken Sie auf Next.
- Ein weiterer Dialog fragt nach der Projektkonfiguration. Wählen Sie Use Burp defaults und klicken Sie auf Start Burp.
Sobald Burp Suite geladen ist, müssen Sie den vorkonfigurierten Browser öffnen, um sicherzustellen, dass der Datenverkehr korrekt weitergeleitet wird.
- Gehen Sie im Burp Suite-Fenster zum Tab Proxy und dann zum Unter-Tab Intercept.
- Klicken Sie auf die Schaltfläche Open Browser. Ein neues Chromium-Browserfenster wird geöffnet.
- Geben Sie in die Adressleiste dieses neuen Browsers die folgende URL ein und drücken Sie Enter:
https://ginandjuice.shop
Während Sie die Website durchsuchen, zeichnet Burp Suite im Hintergrund stillschweigend alle Anfragen und Antworten auf. Sie können das Browserfenster nun schließen.
Mit der rechten Maustaste auf den Zielhost in der Site Map klicken
In diesem Schritt navigieren Sie zur Site map von Burp Suite, um den gerade besuchten Host zu finden. Die Site map bietet eine hierarchische Ansicht aller Inhalte, die Burp entdeckt hat.
- Kehren Sie zum Hauptfenster von Burp Suite zurück.
- Klicken Sie auf den Tab Target. Standardmäßig wird der Unter-Tab Site map geöffnet.
- Im linken Bereich sehen Sie eine Baumstruktur der von Ihnen besuchten Websites. Suchen und erweitern Sie den Eintrag für
https://ginandjuice.shop. - Klicken Sie mit der rechten Maustaste auf den obersten Eintrag für
https://ginandjuice.shop. Dies öffnet ein kontextsensitives Menü mit vielen verschiedenen Optionen zur Interaktion mit diesem Ziel.
Dieses Kontextmenü ist zentral für die Verwendung von Burp Suite, da es schnellen Zugriff auf alle seine leistungsstarken Werkzeuge bietet.
"Add to scope" aus dem Kontextmenü auswählen
In diesem Schritt verwenden Sie das Kontextmenü, um den Zielhost offiziell als "in scope" zu definieren.
- Während das Kontextmenü aus dem vorherigen Schritt noch geöffnet ist, suchen und klicken Sie auf die Option Add to scope.
- Ein Dialogfeld mit der Meldung "Burp's proxy is configured to drop all out-of-scope requests. Do you want to stop sending out-of-scope items to the History and other Burp tools?" wird angezeigt.
- Klicken Sie auf Yes.
Durch das Klicken auf "Yes" weisen Sie Burp an, automatisch Rauschen von anderen Websites herauszufiltern. Dies ist eine sehr empfehlenswerte Vorgehensweise, die Ihr Projekt sauber und nur auf die Zielanwendung fokussiert hält. Der Host ginandjuice.shop wird nun als Teil Ihres Testumfangs betrachtet.
Neue Regel im Tab Target > Scope anzeigen
In diesem Schritt überprüfen Sie, ob Ihr Scope korrekt konfiguriert wurde, indem Sie den Einstellungs-Tab Scope überprüfen.
- Bleiben Sie im Burp Suite-Fenster im Tab Target.
- Klicken Sie auf den Unter-Tab Scope, der sich neben dem Unter-Tab Site map befindet.
- Sie sehen zwei Hauptbereiche: Include in scope und Exclude from scope.
- Unter dem Bereich Include in scope sollten Sie nun eine Regel für den gerade hinzugefügten Host sehen. Sie wird ungefähr so aussehen:
Host or IP range: ginandjuice.shop
Protocol: Any
Port: 443
File: .*
Diese Regel teilt Burp mit, dass jede Anfrage an den Host ginandjuice.shop über Port 443 (HTTPS) als "in scope" betrachtet wird. Das Feld File verwendet einen regulären Ausdruck (.*), um jeden Pfad auf dem Server abzugleichen. Sie können hier komplexere Regeln hinzufügen, aber diese einfache hostbasierte Regel ist der gängigste Ausgangspunkt.
Proxy-Verlauf-Filter verwenden, um nur "In-Scope"-Elemente anzuzeigen
In diesem Schritt sehen Sie den praktischen Nutzen der Definition eines Scopes, indem Sie das Protokoll der Proxy-Verlauf filtern. Das Verlaufsprotokoll enthält jede HTTP-Anfrage, die durch den Proxy von Burp gelaufen ist, was sehr unübersichtlich werden kann.
- Navigieren Sie zum Tab Proxy und klicken Sie dann auf den Unter-Tab HTTP history.
- Sie sehen möglicherweise Anfragen an verschiedene Domains, nicht nur an Ihr Ziel.
- Oben in der Verlaufstabelle befindet sich eine Filterleiste. Dort steht möglicherweise "Filter: Showing all items". Klicken Sie auf diese Leiste.
- Ein Konfigurationspanel für den Filter wird angezeigt. Suchen Sie den Abschnitt mit der Bezeichnung Filter by scope.
- Aktivieren Sie das Kontrollkästchen Show only in-scope items.
- Klicken Sie außerhalb des Filterpanels, um die Änderungen anzuwenden.
Die Tabelle HTTP history wird nun aktualisiert, und Sie sehen nur noch Anfragen, die an https://ginandjuice.shop gesendet wurden. Der gesamte andere Datenverkehr ist ausgeblendet, was die Analyse der für Ihren Test relevanten Anfragen erheblich erleichtert.
Zusammenfassung
Herzlichen Glückwunsch zum Abschluss dieses Labs!
Sie haben gelernt, wie Sie einen der grundlegendsten und wichtigsten Konfigurationsschritte in Burp Suite durchführen: die Definition eines Ziel-Scopes. Sie haben erfolgreich Burp gestartet, eine Zielanwendung durchsucht, um die Site-Map zu füllen, das Ziel zu Ihrem Scope hinzugefügt und den Scope-Filter verwendet, um irrelevante Daten in Ihrer Proxy-Historie auszublenden.
Diese Fähigkeit ist unerlässlich, um den Fokus zu wahren, Ihren Test-Workflow zu organisieren und sicherzustellen, dass Sie sicher und professionell innerhalb der autorisierten Grenzen eines Penetrationstests arbeiten.