Статья [0] Burp Suite: Тестирование web-приложений на проникновение

Приветствую уважаемую аудиторию портала Codeby.net!

Хочу анонсировать цикл статей, целиком посвященный тестированию web-приложений на проникновение.

• [1] Burp Suite. Знакомство с основным инструментарием
• [2] Burp Suite. Атаки с помощью Intruder

В частности, детальному разбору функционала, анализу вектора атак, проведению атак на web-приложения и сайты с помощью Burp Suite.

Материала много, и я постараюсь в этом цикле дать практические знания, выбрав самое главное и полезное, из массы, имеющейся в наличии информации.

Во вводной статье, которую вы сейчас читаете, рассмотрим следующие моменты:

• Что такое Burp Suite?
• Установка Burp Suite, (Community, Professional)
• Настройка виртуальной машины OWASP BWA для практики.

Burp Suite – это платформа для проведения аудита безопасности веб-приложений. Содержит инструменты для составления карты веб-приложения, поиска файлов и папок, модификации запросов, фаззинга, подбора паролей и многое другое.

Burp Suite — это интегрированная платформа, предназначенная для проведения аудита веб-приложения, как в ручном, так и в автоматических режимах. Содержит интуитивно
понятный интерфейс со специально спроектированными табами, позволяющими улучшить и ускорить процесс атаки. Сам инструмент представляет из себя проксирующий механизм, перехватывающий и обрабатывающий все поступающие от браузера запросы. Имеется возможность установки сертификата burp для анализа https соединений.

Функционал:

• Proxy — перехватывающий прокси-сервер, работающий по протоколу HTTP(S) в режиме man-in-the-middle. Находясь между браузером и веб-приложением он позволит вам перехватывать, изучать и изменять трафик идущий в обоих направлениях.
• Spider — паук или краулер, позволяющий вам в автоматическом режиме собирать информацию о архитектуре веб-приложения.
• Scanner — автоматический сканер уязвимостей ( OWASP TOP 10 и т.д.) Доступен в Professional версии, в бесплатной версии только описание возможностей.
• Intruder — утилита, позволяющая в автоматическом режиме производить атаки различного вида, такие как подбор пароля, перебор идентификаторов, фаззинг и так далее.
• Repeater — утилита для модифицирования и повторной отправки, отдельных HTTP-запросов и анализа ответов приложения.
• Sequencer — утилита для анализа генерации случайных данных приложения, выявления алгоритма генерации, предиктивности данных.
• Decoder — утилита для ручного или автоматического преобразования данных веб-приложения.
• Comparer — утилита для выявления различий в данных.
• Extender — расширения в BurpSuite. Можно добавлять, как готовые из BApp store, так и собственной разработки.

Мы будем работать с обеими версиями – Community и Professional.

Community 1.7.36:

Professional v2.0.11beta:

Не буду много говорить, о том, где их взять, в Kali Linux мы имеем предустановленную Community, а немного поискав в сети, можно стать обладателем Professional.

Здесь, вы найдете полную информацию о том, как получить Burp Suite на свою ОС:

>

Ссылка скрыта от гостей

Приступим к работе.

Что необходимо для начала?

• Oracle VirtualBox (
  Ссылка скрыта от гостей
  .virtualbox.org/wiki/Downloads)
• Mozilla Firefox Browser
• 7-Zip file archiver (
  Ссылка скрыта от гостей
  zip.org/download.html)
• Burp Proxy Community or Professional (
  Ссылка скрыта от гостей
  .net/burp/)
• Oracle Java (
  Ссылка скрыта от гостей
  )
• OWASP BWA VM (
  Ссылка скрыта от гостей
  )

Начнём с установки и конфигурации OWASP BWA VM, так как, полагаю с первыми пунктами сложностей возникнуть не должно.

Скачиваем файлы виртуальной машины:

Ждем, пока система Linux полностью загрузится, что может занять несколько минут. Когда процесс загрузки будет завершен, видим следующее:

Обратимся в браузере к web-интерфейсу OWASP BWA VM:

http://192.168.0.106

Все работает корректно, и на этом я закончу вводную статью, скачивайте необходимый софт, настраивайте VM, в следующей статье:

• Подготовка Burp Suite к работе.
• Прослушивание HTTP трафика.
• Знакомство с инструментами Burp Suite.

Спасибо за внимание, специально для Codeby.net.

 

[jonni_vu]

Очень хорошая тема !!! Жду

 

[MaRMoK]

 

[Kote]

Жду продолжения

 

[Vander]

Жду продолжения

Уже делаю

 

[Linnni]

Можно ссылочку где Professoinal скачать ( бесплатно ) кто нашёл ?

 

[Desoxyn]

Linnni
На форуме тут есть тема, там есть ссылки. Я тоже выкладывал вроде, поиск заюзай.
Vander
Здраво, +, наконец то у кого то руки дошли. А то у пользователей вопросов много и все однотипные, теперь будет куда посылать читать.

 

[zippyz]

в телеге есть канал, там выкладывают свежий burp професионал

 

[digw33d]

Может кому пригодится немного подробностей по настройке и запуску OWASP.
После создания виртуалки необходимо в ее сетевых настройках адаптер перевести из дефолтного NAT в Host-only Adapter. При этом, если он не создавался ранее (а у меня это было именно так), то виртуалка выдаст ошибку что нет такового и тогда надо будет зайти в общие настройки virtualbox и там его создать. В подавляющем большинстве инструкций на этот счет (как, например, здесь:

Ссылка скрыта от гостей

), адаптер создается через file-settings-network-host only networks. Однако у меня на virtualbox 6.x такой вкладки host only networks по указанному пути не оказалось, только NAT. Поэтому идем file-host network manager и там уже создается этот адаптер.

 

[Pablo Garcia]

а зачем качать OWASP какую он роль играет? и если у меня дебиан рабочая машина и в моей домашней сети(локалке) есть еще и вин10( "жертва") могу ли я просто поставить себе на дебиан бюрп и работать? просто немного сбил с толку список того что нужно установить

 

[f-13]

в телеге есть канал, там выкладывают свежий burp професионал

Не подскажешь где именно?
что за канал?

 

[0m4n]

https://t.me/burpsuite/71

 

[n73]

Не удалось крякнуть на mint19
Сейчас буду пробовать на OS X

а зачем качать OWASP какую он роль играет? и если у меня дебиан рабочая машина и в моей домашней сети(локалке) есть еще и вин10( "жертва") могу ли я просто поставить себе на дебиан бюрп и работать? просто немного сбил с толку список того что нужно установить

Да можно но, зачем бурп или овасп.
Если сканить хосты с вин то не лучше будет армитаж?

Вообще для чего сканировать хосты с вин, какой нужен результат?

 

[Pavel Shuhray]

https://t.me/burpsuite/71

А вот такой глупый вопрос: запускаю генератор лицензий и не могу оттуда скопировать лицензию (правой кнопкой мыши). Что делать?

 

[centr]

Ctr+c

 

[maxlevs]

А вот такой глупый вопрос: запускаю генератор лицензий и не могу оттуда скопировать лицензию (правой кнопкой мыши). Что делать?

[оффтоп]
Блин, помню, тоже в своё время узнал про ctrl+[cv], когда изучал искусство создания сайтов по дискам с видеоуроками.
Была одна программа-генератор баннеров (это те назойливые мрази, что всплывают сразу после захода на сайт и закрывают обзор полностью).
Эта шайтан-фигня не имела контекстного меню вообще. А текста в видеоуроке было много (по тем моим меркам. как сейчас этого текста), а печатал я двумя пальцами, смотря на клаву. Вот тогда я вспомнил, что видел в уроках, как лектор копипастит без пкм, но особо внимания тогда не придавал.
На минуточку, интернета у меня тогда не было, появился только через пару лет. Нащупал эту фичу методом научного тыка.
Тогда я почувствовал себя приключенцем-исследователем. Было классно. Верните мне мой 2007!

 

[Дядюшка Рик]

Жду продолжения темы очень классная

 

[intruder from KZ]

Приветствую уважаемую аудиторию портала Codeby.net!

Хочу анонсировать цикл статей, целиком посвященный тестированию web-приложений на проникновение.

• [1] Burp Suite. Знакомство с основным инструментарием
• [2] Burp Suite. Атаки с помощью Intruder

Посмотреть вложение 25681

В частности, детальному разбору функционала, анализу вектора атак, проведению атак на web-приложения и сайты с помощью Burp Suite.

Материала много, и я постараюсь в этом цикле дать практические знания, выбрав самое главное и полезное, из массы, имеющейся в наличии информации.

Посмотреть вложение 25682

Во вводной статье, которую вы сейчас читаете, рассмотрим следующие моменты:

• Что такое Burp Suite?
• Установка Burp Suite, (Community, Professional)
• Настройка виртуальной машины OWASP BWA для практики.

Burp Suite – это платформа для проведения аудита безопасности веб-приложений. Содержит инструменты для составления карты веб-приложения, поиска файлов и папок, модификации запросов, фаззинга, подбора паролей и многое другое.

Burp Suite — это интегрированная платформа, предназначенная для проведения аудита веб-приложения, как в ручном, так и в автоматических режимах. Содержит интуитивно
понятный интерфейс со специально спроектированными табами, позволяющими улучшить и ускорить процесс атаки. Сам инструмент представляет из себя проксирующий механизм, перехватывающий и обрабатывающий все поступающие от браузера запросы. Имеется возможность установки сертификата burp для анализа https соединений.

Функционал:

• Proxy — перехватывающий прокси-сервер, работающий по протоколу HTTP(S) в режиме man-in-the-middle. Находясь между браузером и веб-приложением он позволит вам перехватывать, изучать и изменять трафик идущий в обоих направлениях.
• Spider — паук или краулер, позволяющий вам в автоматическом режиме собирать информацию о архитектуре веб-приложения.
• Scanner — автоматический сканер уязвимостей ( OWASP TOP 10 и т.д.) Доступен в Professional версии, в бесплатной версии только описание возможностей.
• Intruder — утилита, позволяющая в автоматическом режиме производить атаки различного вида, такие как подбор пароля, перебор идентификаторов, фаззинг и так далее.
• Repeater — утилита для модифицирования и повторной отправки, отдельных HTTP-запросов и анализа ответов приложения.
• Sequencer — утилита для анализа генерации случайных данных приложения, выявления алгоритма генерации, предиктивности данных.
• Decoder — утилита для ручного или автоматического преобразования данных веб-приложения.
• Comparer — утилита для выявления различий в данных.
• Extender — расширения в BurpSuite. Можно добавлять, как готовые из BApp store, так и собственной разработки.

Мы будем работать с обеими версиями – Community и Professional.

Community 1.7.36:

Посмотреть вложение 25683

Professional v2.0.11beta:

Посмотреть вложение 25684

Не буду много говорить, о том, где их взять, в Kali Linux мы имеем предустановленную Community, а немного поискав в сети, можно стать обладателем Professional.

Здесь, вы найдете полную информацию о том, как получить Burp Suite на свою ОС:

>

Ссылка скрыта от гостей

Приступим к работе.

Что необходимо для начала?

• Oracle VirtualBox (
  Ссылка скрыта от гостей
  .virtualbox.org/wiki/Downloads)
• Mozilla Firefox Browser
• 7-Zip file archiver (
  Ссылка скрыта от гостей
  zip.org/download.html)
• Burp Proxy Community or Professional (
  Ссылка скрыта от гостей
  .net/burp/)
• Oracle Java (
  Ссылка скрыта от гостей
  )
• OWASP BWA VM (
  Ссылка скрыта от гостей
  )

Начнём с установки и конфигурации OWASP BWA VM, так как, полагаю с первыми пунктами сложностей возникнуть не должно.

Скачиваем файлы виртуальной машины:

Посмотреть вложение 25685

Ждем, пока система Linux полностью загрузится, что может занять несколько минут. Когда процесс загрузки будет завершен, видим следующее:


Посмотреть вложение 25686

Обратимся в браузере к web-интерфейсу OWASP BWA VM:

http://192.168.0.106

Посмотреть вложение 25687

Все работает корректно, и на этом я закончу вводную статью, скачивайте необходимый софт, настраивайте VM, в следующей статье:

• Подготовка Burp Suite к работе.
• Прослушивание HTTP трафика.
• Знакомство с инструментами Burp Suite.

Спасибо за внимание, специально для Codeby.net.

Спасибо! Интересная тема

 

[ivan2023]

Спасибо за статью! Очень информативно!