Burp Suite 101

[Kaito KID]

Tóm tắt
Trong bài viết này, mình sẽ giới thiệu về Burp Suite, một công cụ giúp hỗ trợ quá trình pentest ứng dụng web. Các kiến thức là cơ bản, dành cho newbie, pro miễn tiếp nhé (_ _!)

1. Giới thiệu Burp Suite
Burp Suite là một công cụ pentest ứng dụng web. Đây không phải là một công cụ “ăn sẵn” như Acunetix, mà nó chỉ hỗ trợ một số việc cho tester trong quá trình pentest. Với một chút cố gắng, bất kỳ ai cũng có thể sử dụng Burp Suite để kiểm thử các ứng dụng web. Các tính năng nâng cao của Burp sẽ giúp tester nâng cao kỹ năng và trình độ của mình hơn nữa. Ngoài ra, giao diện của Burp cũng rất trực quan và thân thiện.
Burp Suite có rất nhiều tính năng thú vị:

• Interception Proxy: được thiết kế để bắt các request gửi lên server.
• Repeater: cho phép sửa đổi nội dung request một cách nhanh chóng.
• Intruder: tự động hóa việc gửi các payloads lên server.
• Decoder: decode và encode string theo các format khác nhau (URL, Base64, HTML,…).
• Comparer: chỉ ra sự khác nhau giữa các requests/responses
• Extender: API để mở rộng chức năng của Burp Suite. Bạn có thể download các extensions thông qua Bapp Store.
• Spider & Discover Content: crawl link có trong ứng dụng web.
• Scanner (chỉ có trong bản Pro): tự động quét các lỗ hổng trong ứng dụng web (XSS, SQLi, Command Injection, File Inclusion,…).

2. Cài đặt và cấu hình
Burp Suite được viết bằng ngôn ngữ Java. Do đó, máy tính của bạn cần được cài đặt Java nếu muốn sử dụng Burp. Bạn truy cập vào website http://portswigger.net/burp/download.html để download Burp Suite bản mới nhất về. Sau khi download, bạn chỉ cần chạy file .JAR này để bắt đầu.
Burp được thiết kế để sử dụng cùng với trình duyệt. Nó hoạt động giống như một HTTP proxy server, và tất cả HTTP(S) traffic đều sẽ đi qua Burp. Trước khi tiến hành làm việc với Burp, bạn cần cấu hình để trình duyệt của mình làm việc với nó.
Đầu tiên, bạn kiểm tra xem Burp proxy listener đã được active hay chưa, bằng cách chọn tab Proxy à Options à tìm đến phần Proxy Listeners à kiểm tra xem checkbox Running đã được chọn hay chưa, và Interface là 127.0.0.1:8080. Nếu các thông tin không đúng như trên, hãy click vào button Restore defaults (bên trái panel).
Tiếp theo, bạn tiến hành cấu hình trình duyệt của mình. Bạn cần thay đổi proxy setting với proxy host là 127.0.0.1, và port 8080.
Dưới đây tôi sẽ hướng dẫn cấu hình FireFox.
Chọn Tools → Options → Advanced → Network → Settings, sau đó thiết lập như hình sau:

Sau khi cấu hình xong trình duyệt, bạn test lại như sau: gõ vào trình duyệt một URL bất kỳ. Quay trở lại cửa sổ Burp Suite, chọn tab Proxy à Intercept. Bạn sẽ thấy nội dung của HTTP request hiển trị trong panel.
Đến đây, khi truy cập website có sử dụng HTTPS, bạn sẽ nhận được cảnh báo từ phía trình duyệt. Bạn cần cài đặt thêm Burp CA Certificate. Truy cập http://127.0.0.1:8080/, chọn CA Certificate, download file cacert.der. Bạn chọn Tools → Options → Advanced → Certificates → View Certificates, sau đó import file vừa download về.
Đên đây, bạn đã có thể bắt đầu làm việc cùng Burp Suite

3. Target
Target là nơi chứa các thông tin tổng quan về ứng dụng web. Tab cho phép bạn xem site map và điều chỉnh phạm vi mục tiêu. Phạm vi có thể được xác định bằng cách điền loại giao thức, host/IP, port.

4. Proxy
Tab Proxy hiển thị chi tiết các request đi qua Burp Proxy. Tại đây, bạn có các tùy chọn Forward, Drop hay chuyển sang các action khác.

Với việc cấu hình scope và proxy, giờ đây bạn có thể duyệt ứng dụng web bằng cách sử dụng trình duyệt và Burp. Tab Site map cho bạn cái nhìn tổng quan về ứng dụng web, cấu trúc thư mục, tài nguyên,… Để thực hiện các tùy chọn khác, bạn chỉ cần click chuột phải vào URL.

Để dễ dàng focus vào ứng dụng web mục tiêu, bạn có thể click vào Filter và chọn Show only in-scope items:

5. Decoder & Comparer
Khi bạn tiến hành pentest ứng dụng web, bạn sẽ nhận ra sự cần thiết của việc encode và decode string sang một định dạng khác. Việc này giúp bạn bypass qua các bộ lọc đơn giản của các lập trình viên. Dưới đây là ví dụ sử dụng Burp Decoder để encode URL với nhiều tùy chọn encode khác nhau:

Burp Comparer cho phép bạn so sánh nhanh chóng các requests/responses để tìm sự khác biệt:

6. Extender
Bạn có thể mở rộng các tính năng cho Burp bằng cách thêm các extensions. Trên BApp Store hiện có rất nhiều extension hữu ích cho bạn lựa chọn.

7. Intruder
Burp Intruder cho phép bạn test ứng dụng web bằng cách gửi các payloads đã được định nghĩa trước lên server, sau đó xem xét kết quả trả về. Bạn thực hiện theo các bước sau:
Bước 1: Chọn một request và chọn tiếp Send to Intruder, sau đó chuyển sang tab Intruder. Vùng được đánh dấu cho biết phần nào của request có thể brute force được.

Bước 2: Chuyển sang tab payloads, load payloads do bạn định nghĩa sẵn:

Bước 3: chọn Intruder → Start attack để tiến hành attack. Sau đó bạn có thể nhâm nhi một ly cafe và xem xét kết quả trả về.

Còn một vài tính năng hữu ích nữa, chẳng hạn Scanner hay Engagement tools, nhưng các tính năng này mất phí, nên mình sẽ giới thiệu ở một bài khác, nói về Burp Suite Pro.
Thôi, bài đã dài, hình đã nhiều, răng lại đang đau, xin dừng bút tại đây (_ _!)

 

Re: Burp Suite 101

Xuất sắc =))))

 

Re: Burp Suite 101

Mình thấy chủ thread nên giới thiệu lần lượt theo các tính năng đã liệt kê ở trên cho dễ "đếm"

Hình như có 2 chức năng "Repeater" với "Spider & Discover Content" chả thấy nhắc đến lần thứ 2

 

Re: Burp Suite 101

Mình thấy chủ thread nên giới thiệu lần lượt theo các tính năng đã liệt kê ở trên cho dễ "đếm"

Hình như có 2 chức năng "Repeater" với "Spider & Discover Content" chả thấy nhắc đến lần thứ 2

Mình quên, mà giờ ngại viết rồi (_ _!)