Burpsuiteの使い方とスタートアップ 詳細チュートリアル

1. はじめに

Burp Suiteは、Webアプリケーションを攻撃するための統合プラットフォームです。アプリケーションの攻撃プロセスを高速化するために、多数のツールと、これらのツールのために設計された多数のインターフェイスが含まれています。すべてのツールは、HTTPメッセージ、持続性、認証、プロキシ、ログ、およびアラートを処理および表示できる強力で拡張可能なフレームワークを共有しています。

2. タグ

1. ターゲット（target） - ターゲットのディレクトリ構造を表示する機能
2. Proxy - HTTP/Sを傍受し、ブラウザとターゲットアプリケーションの間で仲介役を務めるプロキシサーバーで、双方向の生データストリームを傍受、表示、変更することができます。
3. スパイダー（蜘蛛） - インテリジェント・センシングを応用して、アプリケーションのコンテンツや機能を丸ごと列挙するウェブ・クローラー。
4. スキャナ - 実行すると、Webアプリケーションのセキュリティ脆弱性を自動的に検出する高度なツール。
5. イントルーダー - ウェブアプリケーションに対して、識別子の列挙、有用なデータの収集、ファジング技術を用いた日常的な脆弱性の調査などの自動攻撃を行う、高度に設定可能なカスタムツールです。
6. リピーター - 手動操作に依存して、個々の HTTP リクエストをトリガーし、アプリケーションのレスポンスを分析するツールです。
7. シーケンサー - 予測不可能なアプリケーションセッショントークンや重要なデータ項目のランダム性を分析するためのツールです。
8. デコーダー - 手動で実行したり、アプリケーションデータをインテリジェントにデコードおよびエンコードするためのツールです。
9. Comparer - 2つのデータ間のquot;difference"を視覚化するもので、通常は関連する多くのリクエストとレスポンスを通して行います。
10. エクステンダー - Burp Suiteの機能を拡張するために、あなた自身やサードパーティのコードを使用して、Burp Suiteの拡張機能をロードすることができます。
11. オプション（設定） - Burp Suiteに関するいくつかの設定です。

3. アクション

HTTPパケットをキャプチャします。

Firefoxを例にとると、オプション-詳細設定-ネットワーク-設定-手動プロキシ設定,HTTPプロキシ入力を選択するをクリックします。127.0.0.1ポート。8080

burpsuiteを開き、プロキシ-オプションをクリックし、127.0.0.1:8080をチェック。インターセプトをクリックすると、インターセプトが開始されると表示されます。

Firefoxでアクセスするための実際のアドレスを入力します。例：URLは10.1.1.174/login.php、ユーザー名はtest、パスワードはtestです。

ログインをクリックすると、ページが固まり、下のburpsuiteフラッシュボックスが新しいデータの入力を示唆しているので、それを開いてパケットキャプチャ情報を見てください。

中のコンテンツは変更可能です。

クローラーです。

Targetでは、サイトのディレクトリ構造を見ることができます。

表示されているデータやサイトだけをさかのぼって表示することもできますので、下の赤のボックスにチェックを入れるだけです。現在必要な1サイトのみを選択する場合は、Show only in-scope itemsにチェックを入れてください。

右クリックで「Spider this host」を選択し、「YES」をクリックします。

タグを読み込むと、以下のように表示されます。

何も記入しない場合は、Spide--optionsで以下の設定を確認することができます。

次のページでは、合計20,000以上のビットがクロールされたことがわかります。

クロール後、クロールされたディレクトリが表示されます。

脆弱性をスキャンする。

パラをダブルクリックすると、パラメータ付きのレコードが選択されます。選択した項目をアクティブにスキャンするオプションを右クリックします。

重複するページやデータを自動的にフィルタリングして、「次へ」-「OK」をタップするだけです。

次に、Scanner - Scan queueでスキャンを確認します。

そして、ScannerのIssue定義で、どのような種類の脆弱性を掃除するのかを定義します。

パケットをエクスポートします。

ユーザーオプションでエクスポートするパケットを選択します。

Burpsuiteとその詳細なチュートリアルに関するこの記事は以上です。Burpsuiteに関するより詳しいチュートリアルは、過去の記事を検索するか、以下の記事を引き続きご覧ください。