Explorer l'interface utilisateur de Burp Suite

Introduction

Burp Suite est une plateforme puissante et populaire pour effectuer des tests de sécurité d'applications web. Elle se compose d'un ensemble d'outils intégrés qui fonctionnent ensemble pour soutenir l'ensemble du processus de test, de la cartographie initiale et de l'analyse de la surface d'attaque d'une application à la recherche et à l'exploitation des vulnérabilités de sécurité.

Avant de pouvoir utiliser efficacement Burp Suite pour les tests de sécurité, vous devez d'abord vous familiariser avec son interface utilisateur (UI). Dans ce laboratoire, vous lancerez Burp Suite et ferez une visite guidée de ses onglets et fonctionnalités principaux. Ces connaissances fondamentales sont essentielles pour tous les futurs laboratoires impliquant des tests d'intrusion d'applications web.

Examiner le Tableau de bord et le journal d'événements

Dans cette étape, vous lancerez Burp Suite et explorerez le Tableau de bord principal, qui sert de centre névralgique pour vos activités de test.

Tout d'abord, ouvrez un terminal dans votre environnement LabEx. Le fichier JAR de Burp Suite a déjà été téléchargé dans votre répertoire ~/project. Utilisez la commande suivante pour démarrer l'application. Notez qu'il peut falloir un moment pour le chargement.

java -jar burpsuite_community.jar

Une boîte de dialogue apparaîtra vous interrogeant sur les fichiers de projet. Pour ce laboratoire, nous utiliserons un projet temporaire. Acceptez simplement la sélection par défaut et cliquez sur Next.

Une autre boîte de dialogue peut apparaître vous interrogeant sur les paramètres par défaut. Cliquez sur Start Burp pour continuer.

Une fois Burp Suite chargé, vous verrez la fenêtre principale. Le premier onglet que vous verrez est le Dashboard.

Le Tableau de bord est divisé en quatre quadrants principaux :

• Tasks : Ceci vous permet d'exécuter des scans prédéfinis et d'autres tâches automatisées.
• Event log : Ceci fournit un journal continu de tous les événements significatifs se produisant dans Burp Suite, tels que le démarrage du proxy ou la découverte de nouveaux problèmes.
• Issue activity : Ceci affiche un flux en temps réel des problèmes de sécurité identifiés par Burp Scanner.
• Advisory : Cette section fournit des détails et des conseils de remédiation pour les problèmes de sécurité sélectionnés.

Prenez un moment pour examiner le Event log. Vous devriez voir des entrées indiquant que le service proxy a démarré et que l'application est prête. Ce journal est très utile pour le dépannage et pour comprendre ce que fait Burp en arrière-plan.

Examiner l'onglet Cible et la carte du site

Dans cette étape, vous allez explorer l'onglet Target, qui est utilisé pour définir la portée de votre travail et visualiser une carte détaillée de la structure de l'application cible.

Dans la fenêtre Burp Suite, cliquez sur l'onglet Target situé en haut de l'interface.

Cet onglet est crucial pour organiser vos efforts de test. Il comporte deux sous-onglets principaux sur le côté gauche :

• Site map : Cette vue fournit une représentation arborescente hiérarchique du contenu de l'application cible. Au fur et à mesure que vous naviguez dans l'application via le Proxy de Burp, cette carte sera automatiquement remplie avec toutes les URL et ressources que vous découvrez. Comme nous n'avons encore navigué sur aucun site, cette zone sera principalement vide.
• Scope : Ce sous-onglet vous permet de définir précisément quels hôtes et quelles URL font partie de votre périmètre de test. Tous les éléments "in scope" (dans le périmètre) seront traités par les outils de Burp, tandis que les éléments "out of scope" (hors périmètre) seront généralement ignorés. Ceci est essentiel pour concentrer vos tests et éviter les interactions involontaires avec d'autres sites web.

Cliquez sur les sous-onglets Site map et Scope pour vous familiariser avec leur disposition. Comprendre comment gérer votre périmètre cible est une compétence fondamentale pour utiliser Burp Suite efficacement.

Comprendre les vues Intercept et History de l'onglet Proxy

Dans cette étape, nous allons examiner l'onglet Proxy, qui contient l'un des outils principaux de Burp Suite. Le Proxy de Burp agit comme un homme du milieu (man-in-the-middle), vous permettant d'intercepter, d'inspecter et de modifier tout le trafic entre votre navigateur et l'application web cible.

Cliquez sur l'onglet Proxy.

Vous verrez plusieurs sous-onglets. Les deux plus importants pour l'instant sont :

• Intercept : C'est le centre de contrôle pour l'interception du trafic. Lorsque le bouton Intercept is on est actif, Burp mettra en pause toute requête/réponse HTTP/S correspondante, vous permettant de les visualiser et de les modifier avant qu'elles ne soient envoyées à leur destination. C'est incroyablement puissant pour les tests manuels. Cliquez sur le bouton pour basculer entre Intercept is on et Intercept is off afin de voir comment cela change. Pour l'instant, laissez-le désactivé.
• HTTP history : Ce sous-onglet fournit un journal complet de chaque requête HTTP qui est passée par le proxy. Pour chaque requête, vous pouvez voir la requête et la réponse complètes, les en-têtes, les paramètres, et plus encore. Cet historique est une ressource inestimable pour comprendre le fonctionnement d'une application et pour trouver des vulnérabilités potentielles.

Il existe également un onglet WebSockets history pour enregistrer le trafic WebSocket, qui est utilisé par les applications modernes en temps réel. Pour l'instant, concentrez-vous sur la compréhension de la fonction des vues Intercept et HTTP history.

Localiser les onglets Repeater et Intruder

Dans cette étape, vous trouverez deux outils essentiels supplémentaires pour les tests manuels et automatisés : Repeater et Intruder.

Tout d'abord, cliquez sur l'onglet Repeater.

Burp Repeater est un outil simple mais puissant pour manipuler et réémettre manuellement des requêtes HTTP individuelles. Vous pouvez envoyer une requête d'un autre outil Burp (comme l'historique du Proxy) à Repeater, modifier n'importe quelle partie de celle-ci (par exemple, un paramètre ou un en-tête), et l'envoyer encore et encore. C'est parfait pour tester la logique de l'application, valider les découvertes et effectuer des attaques manuelles précises. L'interface est divisée, montrant la requête à gauche et la réponse à droite.

Ensuite, cliquez sur l'onglet Intruder.

Burp Intruder est un outil hautement configurable pour automatiser des attaques personnalisées. Son utilisation principale est le "fuzzing", qui consiste à envoyer un grand nombre de requêtes avec des données modifiées pour sonder les vulnérabilités. Vous pouvez l'utiliser pour des tâches telles que le brute-force de mots de passe, l'énumération d'identifiants, ou la recherche de failles d'injection SQL. Intruder fonctionne en définissant un modèle de requête, en marquant les positions pour les payloads, puis en configurant les ensembles de payloads et les types d'attaques.

Prenez un moment pour examiner les interfaces de Repeater et d'Intruder afin de vous faire une idée de leur objectif et de leur disposition.

Trouver l'onglet Extender pour le BApp Store et les Extensions

Dans cette dernière étape de notre visite, vous allez explorer l'onglet Extender, qui vous permet d'étendre les capacités de Burp Suite avec des extensions.

Cliquez sur l'onglet Extender.

Cette zone est le centre de gestion des extensions de Burp Suite, qui sont des modules complémentaires pouvant introduire de nouvelles fonctionnalités ou s'intégrer à d'autres outils. Les principaux sous-onglets ici sont :

• Extensions : Cette liste affiche toutes les extensions actuellement chargées dans Burp. Vous pouvez y ajouter, supprimer et configurer vos extensions.
• BApp Store : C'est le dépôt officiel de Burp pour les extensions écrites par la communauté et le personnel de PortSwigger. Vous pouvez parcourir le magasin, consulter les détails de chaque extension et les installer directement dans Burp en un seul clic.
• APIs : Ce sous-onglet fournit la documentation pour les développeurs qui souhaitent écrire leurs propres extensions en utilisant Java, Python ou Ruby.
• Settings : Ici, vous pouvez configurer les paramètres liés aux environnements Java, Python et Ruby pour l'exécution des extensions.

Parcourez le BApp Store pour découvrir la grande variété d'extensions disponibles. Cette extensibilité est l'une des principales raisons de la popularité de Burp Suite.

Résumé

Dans ce laboratoire, vous avez lancé avec succès Burp Suite et effectué une visite complète de son interface utilisateur. Vous êtes maintenant familiarisé avec le but et la disposition des onglets les plus importants :

• Dashboard : Le centre de contrôle pour le suivi des tâches, des événements et des problèmes.
• Target : Pour définir la portée et visualiser la carte du site de l'application.
• Proxy : Pour intercepter et enregistrer le trafic HTTP/S.
• Repeater : Pour modifier manuellement et renvoyer des requêtes individuelles.
• Intruder : Pour automatiser des attaques personnalisées et le fuzzing.
• Extender : Pour gérer les extensions et étendre les fonctionnalités de Burp via le BApp Store.

Avec cette compréhension fondamentale de l'interface utilisateur de Burp Suite, vous êtes maintenant prêt à aborder des laboratoires plus avancés impliquant des tests actifs de sécurité des applications web.