Как настроить proxy burp suite

Основы Burp Suite. Что это и как им пользоваться.

Привет, друг. Продолжаем изучать приблуды полезные в вопросах пентеста. И в этой статье разберемся что такое Burp Suite и для чего он вообще нужен. А это крайне полезная и мощная штука. И, наверное, одна из самых популярных утилит для пентеста. Причем это не просто какая-то утилита, которая умеет выполнять какие-то функции, это платформа содержащая целый набор инструментов для аудита безопасности.

Установка и запуск Burp Suite

Burp Suite уже установлен в таких дистрибутивах как Kali Linux или Parrot Securiti. Там установлена версия Community Edition. Это бесплатная версия с ограниченным функционалом, но, тем не менее, её вполне можно использовать, не смотря на ограничения.

Если есть желание использовать Burp Suite на другом дистрибутиве, то скачать его можно с официального сайта https://portswigger.net. Только предварительно нужно будет установить виртуальную машину Java.

При запуске мы увидим окно создания проекта.

Есть три варианта проектов:
Temporary project — временный проект. Полученные данные не сохраняются и удаляются после закрытия программы.
New project on disk — результаты работы и все настройки будут сохранятся в файл Burp Suite. К ним можно будет вернуться позже.
Open existing project — открывает сохраненный проект из файла Burp Suite.

К сожалению, в бесплатной версии доступен только вариант с временным проектом. А потому, не заморачиваясь, давим кнопку Next.

В следующем окне нам предложат выбрать вариант конфигурации для проекта. Можно выбрать стандартную конфигурацию, либо конфигурацию конкретного проекта, либо загрузить конфигурацию из файла. Тут нужно помнить, что загружаются именно настройки касающиеся проекта, на настройки самой программы это никак не влияет. Пункт с загрузкой настроек из файла удобен если нужно часто использовать какие-то однотипные настройки проекта. Т.е. чтобы каждый раз не шаманить с опциями, можно один раз сохранить их в файл и потом оттуда подгружать.

Определившись с настройками проекта, жмем кнопку Start Burp.

Интерфейс Burp Suite

При первом запуске интерфейс может показаться замороченным и непонятным. Это не удивительно, потому что каждая вкладка отвечает за отдельный инструмент. Чтобы стало проще нужно разобраться какая вкладка за что отвечает и как это использовать. Вначале просто познакомимся где тут что, а потом я более подробно опишу ключевые возможности.

Dashboard — тут, я думаю понятно, здесь мы видим общее состояние программы, лог событий, можем включать и отключать некоторые функции, но я, вот прям, не уверен что-то кто-то активно использует эту вкладку.

Target — здесь мы будем видеть все наши цели и подробную информацию о них.

Proxy — это, наверное, наиболее востребованная вкладка. Суть в том, что бы перехватывать трафик между твои браузером и сервером, к которому идет запрос. Причем не просто перехватывать, а также можно его изменять. Причем это работает в обоих направлениях.

Intruder — здесь можно автоматизировать некоторые задачи, необходимость в которых возникает при тестировании.

Repeater — здесь можно посмотреть отправленные запросы, отправить их повторно, а также увидеть полученные ответы.

Sequencer — нужен для анализа степени рандомности тех моментов которые должны быть рандомными, это например токен сеанса приложения.

Decoder — здесь можно закодировать или раскодировать данные. Например если в запросе есть что-то закодированое base64, то раскодировать его мы можем прям тут. Вроде мелочь, но порой очень экономит время.

Comparer — может сравнивать данные, например два запроса, и показывать различия между ними.

Extender — сюда загружаются всякие расширения для улучшения функционала и получения новых возможностей в Burp Suite. Расширения можно добавлять самому, а можно установить из каталога.

Дальше находятся вкладки настроек. В принципе, на первых парах туда лазить не обязательно, все и так будет работать из коробки.

Настройка Burp Suite для работы с браузером

С интерфейсом мы, вроде как, познакомились, но что делать с этим всем, по прежнему не понятно. А потому нужно углубляться в тему дальше.

Одно из основных предназначение Burp Suite — это работать совместно с браузером. А именно перехватывать весь входящий и исходящий трафик. Чтобы трафик проходил через наш прокси, браузер нужно соответствующим образом настроить. Я покажу на примере Firefox, но в других браузерах принцип будет точно такой же.

Настройка Burp Suite

Для начала в Burp открываем вкладку Proxy, и в ней переходив в Options. Здесь в столбце Interface должно быть написано: 127.0.0.1:8080. Это означает что программа будет использовать петлевой интерфейс, а прокси-слушатель будет открыт на порту 8080.

Настройки браузера

Теперь нужно немного подкрутить настройки браузера. В меню выбираем «Настройки», потом «Параметры сети» и жмем «Настроить». Ставим галку на пункт «Ручная настройка сервиса прокси». И там где HTTP прокси вписываем 127.0.0.1, а порт вписываем 8080. Короче переписываем все то что было в Burp Suite. Потом отмечаем «Также использовать этот прокси для FTP и HTTPS». Если в поле «Не использовать прокси для:» что-то написано, нужно это от туда удалить.

В принципе все готово. Остался один небольшой нюанс, при заходе на сайты которые используют SSL сертификат (т.е. почти на все) браузер будет ругаться на сертификат. Это происходит потому что Burp Suite генерирует свой сертификат и сам его подписывает. Потому, чтобы браузер не ругался, нужно сертификат Burp добавить в браузер как доверенный.

Для этого, с запущенным Burp Suite, переходим в браузере по адресу http://burp. И жмем CA Certificate и сохраняем сертификат. Теперь в Firefox открываем меню и переходим в «Настройки», выбираем вкладку «Приватность и защита», а в ней «Сертификаты» и жмем «Просмотр сертификатов». Там выбираем «Центры сертификации», жмем «Импортировать» и выбираем скачанный нами сертификат. Ставим галку «Доверять при идентификации веб-сайтов» и жмем «ОК». Все готово, можно работать. Теперь любой запрос от нас или к нам будет сначала проходить через Burp Suite, а значит мы можем просмотреть этот запрос и, если нужно, немного его подредактировать. При этом, как и что редактировать. зависит от конкретной ситуации и поставленной задачи. Как-то акцентировать на этом внимание я не буду, ввиду нереального количества возможных вариантов, да и это уже сильно выходит за пределы ознакомления с программой.

Intruder

Ещё один инструмент о котором обязательно стоит сказать это Intruder. Крайне полезная приблуда кстати. Но это если научится ей пользоваться.

Смысл заключается в том что Intruder обрабатывает запросы с разными параметрами. При этом показывая вариант запроса и ответ на него, анализируя ответ на предмет того как отреагирует цель на изменение запроса. Таким способом можно тестировать на предмет вообще всего чего угодно. Хочешь sql-инъекции, хочешь брутфорс, можно dos-атаки делать. Можно просто какие-то данные собирать, например идентификаторы сессий или какие-нибудь скрытые страницы.

В целом, если коротко, принцип работы Intruder можно описать так: мы создаем первоначальный запрос, в котором, с использованием маркеров, помечаем какие значение нужно впоследствии подменять. А потом варианты его модификации т.е. то что будет подставляться в запрос. Запускаем и получаем результат, т.е. какой ответ получен на кокой-то вариант запроса.

В платной версии есть куча предустановленных шаблонов, под разные ситуации. В бесплатной придется все делать ручками. Ну или искать шаблоны.

Ну, а на этом наше знакомство с Burp Suite можно заканчивать. Как видишь, это очень многофункциональный инструмент, но как любая подобная штука, требующий постоянной практики и глубоких знаний. А потому, если твоя деятельность непосредственно связана с информационной безопасностью, то тебе наверняка стоит изучить Burp Suite и его возможность подробно и в деталях.

Источник

Burp Suite для новичка: установка, настройка, обзор возможностей

В данной статье предлагаю ознакомиться с программой Burp Suite — универсальным прокси-сервером для сканирования веб-сайтов и веб-приложений, анализа HTTP-трафика и проведения пентестов. Настройка, краткий обзор и описание возможностей BurpSuite Community Edition.

Что такое Burp Suite?

Burp Suite — профессиональная программа для тестирования, анализа и аудита веб-приложений, анализа данных которые передаются между клиентом и сервером. Burp Suite — это многофункциональный сквозной прокси-сервер для Linux/Windows/MacOS платформ. Поставляется в платных (Enterprise/Professional) и бесплатной (Community Edition) версиях. Программа завоевала популярность по всему миру и используется пентестерами, специалистами по кибербезопасности Google, Amazon, Oracle, Apple, Microsoft, Samsung.

Функционал Burp Suite

Функционал программы широкий, а возможности огромные. BurpSuite можно применять в различных целях и задачах, я укажу только на некоторые из них:

• Обход каталогов и файлов, анализ структуры веб-сайтов и веб-приложений;
• Просмотр HTTP-запросов и ответов в чистом виде (RAW), модификация этих запросов;
• Прослушивание HTTP-трафика (GET/POST/SERVER RESPONSE);
• Дешифровка данных в разных форматах;
• Анализ сайта/сервера и его объектов на уязвимость к эксплойтам и инъекциям (HTML/XSS/PHP/SQL/SMTP);
• Анализ и контроль веб-трафика. Например, Burp Suite поможет отследить и проанализировать любые действия в вашем браузере — подозрительные URL-адреса, скрипты, переходы по ссылкам, открытие сайтов, запросы и отправка данных без вашего ведома. Благодаря этому можно отследить любой вредоносный скрипт (Троян) или шпионский софт/плагин, который каким-то образом запущен на вашем компьютере и через ваш браузер использует HTTP-трафик. Вы сможете полностью «прослушать»/перехватить любые данные, которые принимаются/передаются по HTTP/HTTPS на вашем компьютере;
• Тестирование кибербезопасности сайтов/веб-страниц/веб-приложений/веб-серверов/cloud-платформ, подготовка отчетов.

Настройка BurpSuite

Настройка программы проводится в два этапа: настройка параметров самого BurpSuite и настройка браузера для использования BurpSuite как прокси-сервера.

Веб-интерфейс

Веб-интерфейс Burp Suite Communiuty Edition (CE) состоит из таких вкладок:

1. Dashboard — главный рабочий стол для мониторинга заданий, перехватов, анализа данных и так далее;
2. Target — «краулер» веб-приложений, содержит все URL-адреса, которые обрабатывались через прокси. Инструмент позволяет обойти все каталоги, найти уязвимые файлы и построить структуру папок сайта/сервера/ресурса. Очень полезный инструмент для веб-аудита;
3. Proxy — сам прокси-сервер, перехватчик HTTP-трафика, работает в режиме man-in-the-middle;
4. Intruder — мощный инструмент для тестирования приложений, проведения пентестов, моделирования атак и других действий;
5. Repeater — обработчик HTTP-запросов, позволяет модифицировать ответы веб-приложений и вручную повторно их отправлять;
6. Sequencer — служит для анализа токенов;
7. Decoder — полезная утилита для декодирования/шифрование данных в различных алгоритмах и методах кодирования (ASCII, BASE64, HEX, SHA и т.д.);
8. Comparser — инструмент для анализа и сравнения данных, выявления различий;
9. Extender — вкладка для добавления различных плагинов под BurpSuite;
10. Project options — настройки на уровне проекта (цели, задания), позволяет включить использование HTTP/2;
11. User options — пользовательские настройки, позволяет изменить тип соединения (сокеты, авторизация, api), кодировку, тему (светлая, темная), размер шрифта, горячие клавиши и многое другое.

Настройка прокси Burp Suite

Для того чтобы начать работать с Burp suite, необходимо выполнить базовые настройки:

• Перейти на вкладку Proxy -> Options и для Proxy Listeners проверить, чтобы был выставлен localhost (127.0.0.1) на порту 8080 (или можете задать свой порт). Режим работы — Loopback.
• User options -> Misc -> Proxy Interception — перевести в «Always disable»;
• User options -> Misc -> Perfomance Feedback — отключаем отправку данных на сервера Burp Suite;
• User options -> Misc -> Update — отключаем автоматическое обновление.

Настройка браузера Mozilla Firefox для работы с Burp Suite

Теперь, необходимо добавить прокси Burp Suite в браузер, который будем использовать.

На примере Mozilla Firefox:

• В Firefox перейти в Настройки -> Настройки сети -> Ручная конфигурация прокси (about:preferences#general) и ввести 127.0.0.1, добавить порт 8080, включить галочку «Также применить для FTP и HTTPS».
• Перейти в Настройки -> Конфиденциальность -> Безопасность (about:preferences#privacy) и отключить автоматическую блокировку шпионских программ.
• Перейти на http://burp и скачать CA-сертификат;
• В Firefox перейти в Настройки -> Сертификаты (about:preferences#privacy) -> Просмотреть сертификаты — импортируйте полученный от Burp сертификат и установите для него все разрешения.

Примеры использования Burp Suite

Приведу несколько базовых примеров, чтобы было понятно как можно использовать Burp Suite на начальных этапах:

Пример 1:

1. Открываем в браузере Firefox любой сайт.
2. В BurpSuite открываем вкладку Target -> Site map.
3. Анализируем структуру каталогов сайта, смотрим запросы и коды ответа сервера, смотрим на HTTP-заголовки страниц с применением разных фильтров и параметров, узнаем MIME-тип, смотрим cookies и многое другое. Все эти данные уже можно использовать в техническом аудите сайта или отчетах по кибербезопасности.

Пример 2:

1. Открываем веб-сайт и находим любую форму или поле с динамическими параметрами (к примеру, ../action.php?username=admin&password=123456), это может быть и форма авторизации, и поле для поиска, и что-то другое.
2. Переходим в Burpsuite на вкладку Proxy -> Intercept и переводим состояние перехватчика с пассивного «Intercept is Off» на активное «On».
3. Возвращаемся на веб-сайт и повторно перезагружаем страницу. Данные будут перехвачены и автоматически откроется Burp Suite.
4. Далее вы уже можете работать с перехваченным трафиком, в зависимости от своих целей и задач. Например, модифицировать HTTP-запрос и отправить его повторно, нажав кнопку Forward. Или же сохранить HTTP-заголовки в файл и дальше работать с ними в других программах/инструментах.

Для знакомства и обучения с программой Burp Suite на практике рекомендую установить тренинговый веб-сервер OWASP Broken Web Application. Его можно скачать в виде виртуальной машины и импортировать в Virtual Box. На сервере собраны различные обучающие программы от OWASP, а также сайты и веб-приложения с открытыми уязвимостями, на которых можно потренироваться (веб-сервер полностью подготовлен специалистами OWASP для обучения специалистов по кибербезопасности).

Чтобы завершить работу прокси Burp Suite — просто в настройках браузера уберите доступ через прокси, а в самом BurpSuite на вкладке Proxy -> Options отключите галочку Running.

При постоянной работе с Burp Suite, советую попробовать расширение FoxyProxy для Mozilla — одним кликом вы сможете переключать в браузере настройки прокси.

Источник