Изучение пользовательского интерфейса в Burp Suite

Введение

Burp Suite — это мощная и популярная платформа для тестирования безопасности веб-приложений. Она состоит из набора интегрированных инструментов, которые работают вместе, поддерживая весь процесс тестирования, от первоначального картирования и анализа поверхности атаки приложения до поиска и эксплуатации уязвимостей безопасности.

Прежде чем вы сможете эффективно использовать Burp Suite для тестирования безопасности, вы должны ознакомиться с его пользовательским интерфейсом (UI). В этой лаборатории вы запустите Burp Suite и совершите экскурсию по его основным вкладкам и функциям. Эти базовые знания необходимы для всех будущих лабораторий, связанных с тестированием на проникновение веб-приложений.

Обзор панели управления и журнала событий

На этом шаге вы запустите Burp Suite и изучите основную панель управления (Dashboard), которая служит центральным узлом для вашей деятельности по тестированию.

Сначала откройте терминал в вашей среде LabEx. Файл JAR Burp Suite уже загружен в ваш каталог ~/project. Используйте следующую команду для запуска приложения. Обратите внимание, что загрузка может занять некоторое время.

java -jar burpsuite_community.jar

Появится диалоговое окно с вопросом о файлах проекта. Для этой лаборатории мы будем использовать временный проект. Просто примите выбор по умолчанию и нажмите Next.

Может появиться еще одно диалоговое окно с вопросом о настройках по умолчанию. Нажмите Start Burp, чтобы продолжить.

После загрузки Burp Suite вы увидите главное окно. Первая вкладка, которую вы увидите, — это Dashboard.

Панель управления разделена на четыре основные области:

• Tasks: Позволяет запускать предварительно определенные сканирования и другие автоматизированные задачи.
• Event log: Предоставляет текущий журнал всех значительных событий, происходящих в Burp Suite, таких как запуск прокси или обнаружение новых проблем.
• Issue activity: Отображает поток обнаруженных Burp Scanner проблем безопасности в реальном времени.
• Advisory: Этот раздел предоставляет подробную информацию и рекомендации по устранению выбранных проблем безопасности.

Уделите минуту, чтобы посмотреть на Event log. Вы должны увидеть записи, указывающие на то, что служба прокси запущена и приложение готово. Этот журнал очень полезен для устранения неполадок и понимания того, что Burp делает в фоновом режиме.

Изучение вкладки Target и карты сайта

На этом шаге вы изучите вкладку Target, которая используется для определения области вашего тестирования и просмотра подробной карты структуры целевого приложения.

В окне Burp Suite нажмите на вкладку Target, расположенную в верхней части интерфейса.

Эта вкладка имеет решающее значение для организации ваших усилий по тестированию. Она имеет две основные подвкладки слева:

• Site map: Этот вид предоставляет иерархическое древовидное представление содержимого целевого приложения. По мере того как вы просматриваете приложение через прокси Burp, эта карта будет автоматически заполняться всеми обнаруженными вами URL-адресами и ресурсами. Поскольку мы еще не просматривали никаких сайтов, эта область будет в основном пустой.
• Scope: Эта подвкладка позволяет точно определить, какие хосты и URL-адреса входят в область вашего тестирования. Любые элементы, находящиеся "в области действия" (in scope), будут обрабатываться инструментами Burp, в то время как элементы, находящиеся "вне области действия" (out-of-scope), обычно игнорируются. Это необходимо для фокусировки вашего тестирования и избежания непреднамеренных взаимодействий с другими веб-сайтами.

Нажмите на обе подвкладки Site map и Scope, чтобы ознакомиться с их компоновкой. Понимание того, как управлять областью действия вашей цели, является фундаментальным навыком для эффективного использования Burp Suite.

Понимание представлений Intercept и History на вкладке Proxy

На этом шаге мы рассмотрим вкладку Proxy, которая содержит один из основных инструментов Burp Suite. Burp Proxy действует как посредник (man-in-the-middle), позволяя вам перехватывать, просматривать и изменять весь трафик между вашим браузером и целевым веб-приложением.

Нажмите на вкладку Proxy.

Вы увидите несколько подвкладок. Две наиболее важные для нас сейчас:

• Intercept: Это центр управления для перехвата трафика. Когда кнопка Intercept is on активна, Burp будет приостанавливать любые соответствующие HTTP/S запросы и ответы, позволяя вам просматривать и редактировать их перед отправкой к месту назначения. Это невероятно мощный инструмент для ручного тестирования. Нажмите на кнопку, чтобы переключать ее между Intercept is on и Intercept is off, чтобы увидеть, как она меняется. Пока оставьте ее выключенной.
• HTTP history: Эта подвкладка предоставляет полный журнал каждого HTTP-запроса, прошедшего через прокси. Для каждого запроса вы можете увидеть полный запрос и ответ, заголовки, параметры и многое другое. Эта история является бесценным ресурсом для понимания того, как работает приложение, и для поиска потенциальных уязвимостей.

Также есть вкладка WebSockets history для логирования трафика WebSocket, который используется современными приложениями реального времени. Пока сосредоточьтесь на понимании функций представлений Intercept и HTTP history.

Найдите вкладки Repeater и Intruder

На этом шаге вы найдете еще два важных инструмента для ручного и автоматизированного тестирования: Repeater и Intruder.

Сначала нажмите на вкладку Repeater.

Burp Repeater — это простой, но мощный инструмент для ручного изменения и повторной отправки отдельных HTTP-запросов. Вы можете отправить запрос из другого инструмента Burp (например, из истории Proxy) в Repeater, изменить любую его часть (например, параметр или заголовок) и отправлять его снова и снова. Это идеально подходит для тестирования логики приложения, проверки результатов и выполнения точечных ручных атак. Интерфейс разделен: слева отображается запрос, а справа — ответ.

Далее нажмите на вкладку Intruder.

Burp Intruder — это высококонфигурируемый инструмент для автоматизации настраиваемых атак. Его основное применение — "фаззинг" (fuzzing), который включает отправку большого количества запросов с измененными данными для поиска уязвимостей. Вы можете использовать его для таких задач, как перебор паролей (brute-forcing), перечисление идентификаторов или поиск уязвимостей SQL-инъекций. Intruder работает путем определения шаблона запроса, маркировки позиций для полезных нагрузок (payloads) и последующей настройки наборов полезных нагрузок и типов атак.

Уделите немного времени, чтобы ознакомиться с интерфейсами Repeater и Intruder, чтобы получить представление об их назначении и расположении.

Найдите вкладку Extender для BApp Store и расширений

На этом заключительном шаге нашего обзора вы изучите вкладку Extender, которая позволяет расширять возможности Burp Suite с помощью расширений (extensions).

Нажмите на вкладку Extender.

Эта область является центром управления расширениями Burp Suite, которые представляют собой надстройки, способные добавлять новую функциональность или интегрироваться с другими инструментами. Основные подвкладки здесь:

• Extensions: Этот список показывает все расширения, которые в настоящее время загружены в Burp. Вы можете добавлять, удалять и настраивать свои расширения отсюда.
• BApp Store: Это официальный репозиторий расширений Burp, написанных сообществом и сотрудниками PortSwigger. Вы можете просматривать магазин, просматривать детали каждого расширения и устанавливать их непосредственно в Burp одним щелчком мыши.
• APIs: Эта подвкладка предоставляет документацию для разработчиков, желающих писать собственные расширения с использованием Java, Python или Ruby.
• Settings: Здесь вы можете настроить параметры, связанные с окружениями Java, Python и Ruby для запуска расширений.

Просмотрите BApp Store, чтобы увидеть широкий спектр доступных расширений. Эта расширяемость является одной из ключевых причин популярности Burp Suite.

Резюме

В этой лаборатории вы успешно запустили Burp Suite и прошли полный обзор его пользовательского интерфейса. Теперь вы знакомы с назначением и расположением наиболее важных вкладок:

• Dashboard: Центральный узел для мониторинга задач, событий и проблем.
• Target: Для определения области тестирования и просмотра карты сайта приложения.
• Proxy: Для перехвата и логирования HTTP/S трафика.
• Repeater: Для ручного изменения и повторной отправки отдельных запросов.
• Intruder: Для автоматизации настраиваемых атак и фаззинга.
• Extender: Для управления расширениями и расширения функциональности Burp через BApp Store.

Обладая этим базовым пониманием пользовательского интерфейса Burp Suite, вы теперь готовы приступить к более продвинутым лабораториям, связанным с активным тестированием безопасности веб-приложений.