Explore a Interface do Usuário no Burp Suite

Introdução

O Burp Suite é uma plataforma poderosa e popular para realizar testes de segurança em aplicações web. Ele consiste em um conjunto de ferramentas integradas que trabalham juntas para suportar todo o processo de teste, desde o mapeamento inicial e análise da superfície de ataque de uma aplicação até a descoberta e exploração de vulnerabilidades de segurança.

Antes de poder usar efetivamente o Burp Suite para testes de segurança, você deve primeiro se familiarizar com sua interface de usuário (UI). Neste laboratório, você iniciará o Burp Suite e fará um tour guiado por suas abas e recursos principais. Este conhecimento fundamental é essencial para todos os laboratórios futuros envolvendo testes de penetração em aplicações web.

Revisar o Dashboard e o Event Log

Nesta etapa, você iniciará o Burp Suite e explorará o Dashboard principal, que serve como o centro de suas atividades de teste.

Primeiro, abra um terminal em seu ambiente LabEx. O arquivo JAR do Burp Suite já foi baixado para o seu diretório ~/project. Use o seguinte comando para iniciar a aplicação. Observe que pode levar um momento para carregar.

java -jar burpsuite_community.jar

Uma caixa de diálogo aparecerá perguntando sobre arquivos de projeto. Para este laboratório, usaremos um projeto temporário. Simplesmente aceite a seleção padrão e clique em Next.

Outra caixa de diálogo pode aparecer perguntando sobre as configurações padrão. Clique em Start Burp para continuar.

Assim que o Burp Suite carregar, você verá a janela principal. A primeira aba que você verá é o Dashboard.

O Dashboard é dividido em quatro quadrantes principais:

• Tasks: Isso permite que você execute scans predefinidos e outras tarefas automatizadas.
• Event log: Isso fornece um log contínuo de todos os eventos significativos que ocorrem dentro do Burp Suite, como o proxy iniciando ou novas vulnerabilidades sendo descobertas.
• Issue activity: Isso mostra um feed em tempo real das vulnerabilidades de segurança identificadas pelo Burp Scanner.
• Advisory: Esta seção fornece detalhes e conselhos de remediação para vulnerabilidades de segurança selecionadas.

Reserve um momento para observar o Event log. Você deverá ver entradas indicando que o serviço de proxy foi iniciado e a aplicação está pronta. Este log é muito útil para solucionar problemas e entender o que o Burp está fazendo em segundo plano.

Examinar a Aba Target e o Site Map

Nesta etapa, você explorará a aba Target, que é usada para definir o escopo do seu trabalho e visualizar um mapa detalhado da estrutura da aplicação alvo.

Na janela do Burp Suite, clique na aba Target localizada no topo da interface.

Esta aba é crucial para organizar seus esforços de teste. Ela possui duas sub-abas principais no lado esquerdo:

• Site map: Esta visualização fornece uma representação em árvore hierárquica do conteúdo da aplicação alvo. À medida que você navega pela aplicação através do Proxy do Burp, este mapa será preenchido automaticamente com todos os URLs e recursos que você descobrir. Como ainda não navegamos por nenhum site, esta área estará em grande parte vazia.
• Scope: Esta sub-aba permite que você defina exatamente quais hosts e URLs fazem parte do seu escopo de teste. Quaisquer itens "in scope" (dentro do escopo) serão processados pelas ferramentas do Burp, enquanto itens "out-of-scope" (fora do escopo) são tipicamente ignorados. Isso é essencial para focar seus testes e evitar interações não intencionais com outros sites.

Clique nas sub-abas Site map e Scope para se familiarizar com seus layouts. Compreender como gerenciar seu escopo alvo é uma habilidade fundamental para usar o Burp Suite de forma eficaz.

Compreender as Visualizações Intercept e History da Aba Proxy

Nesta etapa, examinaremos a aba Proxy, que contém uma das ferramentas centrais do Burp Suite. O Burp Proxy atua como um "man-in-the-middle", permitindo que você intercepte, inspecione e modifique todo o tráfego entre seu navegador e a aplicação web alvo.

Clique na aba Proxy.

Você verá várias sub-abas. As duas mais importantes por enquanto são:

• Intercept: Este é o centro de controle para interceptar tráfego. Quando o botão Intercept is on (Interceptação está ativa) está ativo, o Burp pausará quaisquer requisições e respostas HTTP/S correspondentes, permitindo que você as visualize e edite antes que sejam enviadas ao seu destino. Isso é incrivelmente poderoso para testes manuais. Clique no botão para alternar entre Intercept is on e Intercept is off (Interceptação está desativada) para ver como ele muda. Por enquanto, deixe-o desativado.
• HTTP history: Esta sub-aba fornece um log completo de cada requisição HTTP que passou pelo proxy. Para cada requisição, você pode ver a requisição e resposta completas, cabeçalhos, parâmetros e muito mais. Este histórico é um recurso inestimável para entender como uma aplicação funciona e para encontrar vulnerabilidades potenciais.

Há também uma aba WebSockets history para registrar o tráfego WebSocket, que é usado por aplicações modernas em tempo real. Por enquanto, concentre-se em entender a função das visualizações Intercept e HTTP history.

Localizar as Abas Repeater e Intruder

Nesta etapa, você encontrará mais duas ferramentas essenciais para testes manuais e automatizados: Repeater e Intruder.

Primeiro, clique na aba Repeater.

O Burp Repeater é uma ferramenta simples, mas poderosa, para manipular e reenviar manualmente requisições HTTP individuais. Você pode enviar uma requisição de outra ferramenta do Burp (como o histórico do Proxy), modificá-la (por exemplo, um parâmetro ou cabeçalho) e enviá-la repetidamente. Isso é perfeito para testar a lógica da aplicação, validar descobertas e realizar ataques manuais detalhados. A interface é dividida, mostrando a requisição à esquerda e a resposta à direita.

Em seguida, clique na aba Intruder.

O Burp Intruder é uma ferramenta altamente configurável para automatizar ataques personalizados. Seu uso principal é para "fuzzing", que envolve o envio de um grande número de requisições com dados modificados para sondar vulnerabilidades. Você pode usá-lo para tarefas como brute-force de senhas, enumeração de identificadores ou para encontrar falhas de SQL injection. O Intruder funciona definindo um template de requisição, marcando posições para payloads e, em seguida, configurando conjuntos de payloads e tipos de ataque.

Reserve um momento para observar as interfaces de ambas as ferramentas, Repeater e Intruder, para ter uma noção de seu propósito e layout.

Encontrar a Aba Extender para BApp Store e Extensões

Nesta etapa final do nosso tour, você explorará a aba Extender, que permite expandir as capacidades do Burp Suite com extensões.

Clique na aba Extender.

Esta área é o centro para gerenciar extensões do Burp Suite, que são add-ons que podem introduzir novas funcionalidades ou integrar-se com outras ferramentas. As sub-abas principais aqui são:

• Extensions: Esta lista mostra todas as extensões que estão atualmente carregadas no Burp. Você pode adicionar, remover e configurar suas extensões a partir daqui.
• BApp Store: Este é o repositório oficial do Burp de extensões escritas pela comunidade e pela equipe da PortSwigger. Você pode navegar pela loja, ver detalhes sobre cada extensão e instalá-las diretamente no Burp com um único clique.
• APIs: Esta sub-aba fornece documentação para desenvolvedores que desejam escrever suas próprias extensões usando Java, Python ou Ruby.
• Settings: Aqui você pode configurar as configurações relacionadas aos ambientes Java, Python e Ruby para executar extensões.

Navegue pela BApp Store para ver a grande variedade de extensões disponíveis. Essa extensibilidade é uma das principais razões para a popularidade do Burp Suite.

Resumo

Neste laboratório, você iniciou com sucesso o Burp Suite e completou um tour abrangente de sua interface de usuário. Agora você está familiarizado com o propósito e o layout das abas mais importantes:

• Dashboard: O hub central para monitorar tarefas, eventos e problemas.
• Target: Para definir o escopo e visualizar o mapa do site da aplicação.
• Proxy: Para interceptar e registrar o tráfego HTTP/S.
• Repeater: Para modificar manualmente e reenviar requisições individuais.
• Intruder: Para automatizar ataques personalizados e fuzzing.
• Extender: Para gerenciar extensões e expandir a funcionalidade do Burp através da BApp Store.

Com este entendimento fundamental da UI do Burp Suite, você está agora preparado para abordar laboratórios mais avançados que envolvem testes ativos de segurança de aplicações web.