Burp Suite - Revision history

Apihlak at 12:45, 7 January 2013

2013-01-07T12:45:37Z

← Older revision		Revision as of 15:45, 7 January 2013
Line 16:		Line 16:
	*Loogikavigu (Business Logic Flaws)		*Loogikavigu (Business Logic Flaws)
	*Stored XSS jne.		*Stored XSS jne.
	Nende testimisel on ~~soovitatud~~ kasutada OWASP [https://www.owasp.org/index.php/Main_Page] testimise manuali.		Nende testimisel on soovitav kasutada OWASP [https://www.owasp.org/index.php/Main_Page] testimise manuali.

Apihlak at 09:59, 6 January 2013

2013-01-06T09:59:00Z

← Older revision		Revision as of 12:59, 6 January 2013
Line 1:		Line 1:
	[[File:BurpSuite.JPG\|thumb\|300px\|alt=Burp Suite\|Burp Suite]]		[[File:BurpSuite.JPG\|thumb\|300px\|alt=Burp Suite\|Burp Suite]]
	='''Sissejuhatus'''=		='''Sissejuhatus'''=
	Burp Suite on platvorm turvatestimaks erinevaid veebiaplikatsioone, mis hõlmab enda all mitmeid tööriistu. Need funktsioneerivad koos ning toetavad kogu testimise protsessi, alustadest kaardistamisest, analüüsist kuni rünneteni välja. Burp Suite-ga kaasas tööriistad suudavad käsitleda HTTP päringuid, järjepidevust, autentimist, logimist, hoiatamist ning laiaulatuslikkust.		Burp Suite on platvorm turvatestimaks erinevaid veebiaplikatsioone, mis hõlmab enda all mitmeid tööriistu. Need funktsioneerivad koos ning toetavad kogu testimise protsessi, alustadest kaardistamisest, analüüsist kuni rünneteni välja. Burp Suite-ga kaasas olevad tööriistad suudavad käsitleda HTTP päringuid, järjepidevust, autentimist, logimist, hoiatamist ning laiaulatuslikkust.

	Burp Suite on ~~lihtsa käsitlusega~~ ning intuitiivselt kasutatav, kuid algajale võib see tunduda liiga keeruline. See võimaldab seadeid erinevalt konfigureerida ning on kasutusel ka kogenumatel testijatel.		Burp Suite on lihtsalt käsitatav ning intuitiivselt kasutatav, kuid algajale võib see tunduda liiga keeruline. See võimaldab seadeid erinevalt konfigureerida ning on kasutusel ka kogenumatel testijatel.

	'''PS:''' Ainult täisversioon teeb automatiseeritud turvatestimist ning põhjalikku analüüsi.		'''PS:''' Ainult täisversioon teeb automatiseeritud turvatestimist ning põhjalikku analüüsi.
Line 27:		Line 27:
	Kõik muudatused on tehtud nii, et nad töötavad Burp Suite algseadetega.		Kõik muudatused on tehtud nii, et nad töötavad Burp Suite algseadetega.

	Burp Suite ning brauser töötavad koos kuna Burp funktsioneerib kui HTTP proxy server ning kõik HTTP/S liiklus läbi brauseri läheb ka läbi Burb-i. Et teha testimisi tuleb konfigureerida ka brauser. Burb-i proxy kuulab porti 8080~~, siis~~ tuleks brauseris muuta proxy kuulaja „127.0.0.1:8080“. [http://www.portswigger.net/burp/help/suite_gettingstarted.html]		Burp Suite ning brauser töötavad koos kuna Burp funktsioneerib kui HTTP proxy server ning kõik HTTP/S liiklus läbi brauseri läheb ka läbi Burb-i. Et teha testimisi tuleb konfigureerida ka brauser. Burb-i proxy kuulab porti 8080 ning seetõttu tuleks brauseris muuta proxy kuulaja „127.0.0.1:8080“. [http://www.portswigger.net/burp/help/suite_gettingstarted.html]

	='''Tööriistad'''=		='''Tööriistad'''=
Line 33:		Line 33:
	==Spider==		==Spider==

	Burp Spider ~~automaatselt~~ indekseerib ning genereerib kaardi veebiaplikatsioonidest. Seda on hea kasutada väga suurte aplikatsioonide ~~puhu~~ või kui on soov kiiresti testida. Kuna spider kasutab erinevaid tehnikaid, siis mõningatel juhtudel võib tekkida olukordi kus registreeritakse uued kasutajad, genereeritakse e-maili tagasiside või muudetakse aplikatsiooni seisu. Selle ennetamiseks tuleks valida enda jaoks vajalikud seaded.		Burp Spider indekseerib ning genereerib automaatselt kaardi veebiaplikatsioonidest. Seda on hea kasutada väga suurte aplikatsioonide puhul või kui on soov kiiresti testida. Kuna spider kasutab erinevaid tehnikaid, siis mõningatel juhtudel võib tekkida olukordi, kus registreeritakse uued kasutajad, genereeritakse e-maili tagasiside või muudetakse aplikatsiooni seisu. Selle ennetamiseks tuleks valida enda jaoks vajalikud seaded.

	==Scanner (ainult täisversioonil)==		==Scanner (ainult täisversioonil)==

	Burp Scanner on HTTP päringute automaatne skanneerija mis võimaldab leida erinevaid ~~turvaaukusi~~. Pärast ~~skannerimist~~ on võimalus vaadata põhjalikku vigade analüüsi erinevate tabelitega. Iga tulemus sisaldab detailset nõuannet sealhulgas päringuid ning vastuseid . Raportid saab salvestada HTML või XML formaati.		Burp Scanner on HTTP päringute automaatne skanneerija, mis võimaldab leida erinevaid turvaauke. Pärast skanneerimist on võimalus vaadata põhjalikku vigade analüüsi erinevate tabelitega. Iga tulemus sisaldab detailset nõuannet, sealhulgas päringuid ning vastuseid. Raportid saab salvestada HTML või XML formaati.

	==Intruder==		==Intruder==

	Intruder võimaldab teha kohandatud automaatseid rünnakuid. Tänu sellele, et intruder on seadistatav võimaldab see teha erinevaid rünnakuid.		Intruder võimaldab teha kohandatud automaatseid rünnakuid. Tänu sellele, et intruder on seadistatav, võimaldab see teha erinevaid rünnakuid.
	Burp Intruder võtab HTTP päringu ning võimaldab modifitseerida seda vastavalt vajadusele. Vastuste tagasi saatmise saab automatiseerida turvarünneteks. Igaks rünnakuks tuleb määrata erinevad payload-id [http://www.portswigger.net/burp/help/intruder_payloads_types.html#simplelist ] ning positsioonid algpäringul. Intruder toetab erinevaid rünnaku tüüpe, mis määrab ära kuidas payloadi positsioonid asetsevad rünnaku ajal. [http://www.portswigger.net/burp/help/intruder_positions.html#attacktype ]		Burp Intruder võtab HTTP päringu ning võimaldab modifitseerida seda vastavalt vajadusele. Vastuste tagasi saatmise saab automatiseerida turvarünneteks. Igaks rünnakuks tuleb määrata erinevad payload-id [http://www.portswigger.net/burp/help/intruder_payloads_types.html#simplelist ] ning positsioonid algpäringul. Intruder toetab erinevaid rünnaku tüüpe, mis määrab ära, kuidas payloadi positsioonid asetsevad rünnaku ajal. [http://www.portswigger.net/burp/help/intruder_positions.html#attacktype ]

	==Repeater==		==Repeater==

	Burp repeater on lihtne tööriist, mis võimaldab manuaalselt ~~päringut~~ muuta ning saata ~~vastus~~ kordades tagasi ja seejärel analüüsida tagasi tulnud vastuseid. Sellega saab tuvastada päringu parameetrite muutmisel tekkinud sisend-põhiseid ~~turvaaukusi~~, loogikavigu jne.		Burp repeater on lihtne tööriist, mis võimaldab manuaalselt algpäringut muuta ning vastus saata mitmetes kordades tagasi serverile ja seejärel analüüsida tagasi tulnud vastuseid. Sellega saab tuvastada päringu parameetrite muutmisel tekkinud sisend-põhiseid turvaauke, loogikavigu jne.

	==Decoder ==		==Decoder ==
Line 54:		Line 54:
	==Comparer ==		==Comparer ==

	Comparer võimaldab visuaalselt võrrelda kahte andmehulka. See tööriist võimaldab võrrelda sõnu kui ka baite.		Comparer võimaldab visuaalselt võrrelda kahte andmehulka. See tööriist võimaldab võrrelda nii sõnu kui ka baite.

	='''Kokkuvõte'''=		='''Kokkuvõte'''=

	Burp Suite~~-ga saab teostada~~ erinevaid testimisvõimalusi nii manuaalsena kui ka automatiseerituna. Eriti mugavaks teeb see, et programm annab täieliku kontrolli testijale ning võimaldab luua detailseid analüüse aplikatsioonidest, mida soovitakse testida.		Burp Suite pakub erinevaid testimisvõimalusi nii manuaalsena kui ka automatiseerituna. Eriti mugavaks teeb selle see, et programm annab täieliku kontrolli testijale ning võimaldab luua detailseid analüüse aplikatsioonidest, mida soovitakse testida.

	='''Kasutatud kirjandus '''=		='''Kasutatud kirjandus '''=

Apihlak at 15:34, 5 January 2013

2013-01-05T15:34:44Z

← Older revision		Revision as of 18:34, 5 January 2013
Line 46:		Line 46:
	==Repeater==		==Repeater==

	Burp repeater on lihtne tööriist, mis võimaldab manuaalselt muuta ning saata ~~päringu vastuse~~ kordades tagasi ~~ning~~ seejärel analüüsida ~~aplikatsiooni~~ vastuseid. Sellega saab tuvastada päringu parameetrite muutmisel tekkinud sisend-põhiseid turvaaukusi, loogikavigu jne.		Burp repeater on lihtne tööriist, mis võimaldab manuaalselt päringut muuta ning saata vastus kordades tagasi ja seejärel analüüsida tagasi tulnud vastuseid. Sellega saab tuvastada päringu parameetrite muutmisel tekkinud sisend-põhiseid turvaaukusi, loogikavigu jne.

	==Decoder ==		==Decoder ==
Line 54:		Line 54:
	==Comparer ==		==Comparer ==

	Comparer võimaldab visuaalselt võrrelda kahte andmehulka. See tööriist võimaldab võrrelda sõnu ~~või~~ baite.		Comparer võimaldab visuaalselt võrrelda kahte andmehulka. See tööriist võimaldab võrrelda sõnu kui ka baite.

	='''Kokkuvõte'''=		='''Kokkuvõte'''=

Apihlak at 15:30, 5 January 2013

2013-01-05T15:30:23Z

← Older revision		Revision as of 18:30, 5 January 2013
Line 16:		Line 16:
	*Loogikavigu (Business Logic Flaws)		*Loogikavigu (Business Logic Flaws)
	*Stored XSS jne.		*Stored XSS jne.
	Nende testimisel on soovitatud kasutada OWASP testimise manuali.		Nende testimisel on soovitatud kasutada OWASP [https://www.owasp.org/index.php/Main_Page] testimise manuali.

Apihlak at 15:29, 5 January 2013

2013-01-05T15:29:36Z

← Older revision		Revision as of 18:29, 5 January 2013
Line 10:		Line 10:
	*XSS		*XSS
	*SQL injection		*SQL injection
	*Seadistuse ning küpsiste probleeme (Configuration and Cookie issues)jne.		*Seadistuse ning küpsiste probleeme (Configuration and Cookie issues) jne.

	'''Ei võimalda leida:'''		'''Ei võimalda leida:'''

Apihlak at 15:29, 5 January 2013

2013-01-05T15:29:15Z

← Older revision		Revision as of 18:29, 5 January 2013
Line 10:		Line 10:
	*XSS		*XSS
	*SQL injection		*SQL injection
	*Seadistuse ning küpsiste probleeme jne.		*Seadistuse ning küpsiste probleeme (Configuration and Cookie issues)jne.

	'''Ei võimalda leida:'''		'''Ei võimalda leida:'''
	*CSRF (Cross-site request forgey)		*CSRF (Cross-site request forgey)
	*Loogikavigu		*Loogikavigu (Business Logic Flaws)
	*Stored XSS jne.		*Stored XSS jne.
	Nende testimisel on soovitatud kasutada OWASP testimise manuali.		Nende testimisel on soovitatud kasutada OWASP testimise manuali.

Apihlak at 15:26, 5 January 2013

2013-01-05T15:26:22Z

← Older revision		Revision as of 18:26, 5 January 2013
Line 5:		Line 5:
	Burp Suite on lihtsa käsitlusega ning intuitiivselt kasutatav, kuid algajale võib see tunduda liiga keeruline. See võimaldab seadeid erinevalt konfigureerida ning on kasutusel ka kogenumatel testijatel.		Burp Suite on lihtsa käsitlusega ning intuitiivselt kasutatav, kuid algajale võib see tunduda liiga keeruline. See võimaldab seadeid erinevalt konfigureerida ning on kasutusel ka kogenumatel testijatel.

	~~Täisversioon pakub turvatestimisele lisaks veel väga~~ põhjalikku analüüsi.		'''PS:''' Ainult täisversioon teeb automatiseeritud turvatestimist ning põhjalikku analüüsi.

	'''Burp Suite võimalab leida:'''		'''Burp Suite võimalab leida:'''

Apihlak at 15:14, 5 January 2013

2013-01-05T15:14:42Z

← Older revision		Revision as of 18:14, 5 January 2013
Line 17:		Line 17:
	*Stored XSS jne.		*Stored XSS jne.
	Nende testimisel on soovitatud kasutada OWASP testimise manuali.		Nende testimisel on soovitatud kasutada OWASP testimise manuali.


			'''Burp Suite töövoog'''

			[[File:Burp workflow.png\|412px\|Source = http://www.portswigger.net/burp/help/suite_usingburp.html]]

	='''Seadistamine'''=		='''Seadistamine'''=
Line 65:		Line 70:
	='''Autor'''=		='''Autor'''=
	Andres Pihlak A32		Andres Pihlak A32

			05.01.13

			[https://wiki.itcollege.ee/index.php/Linuxi_administreerimine Linuxi administreerimine]

Apihlak at 14:52, 5 January 2013

2013-01-05T14:52:56Z

@@ Line 1: / Line 1: @@
 [[File:BurpSuite.JPG|thumb|300px|alt=Burp Suite|Burp Suite]]
 ='''Sissejuhatus'''=
 ='''Autor'''=
 Andres Pihlak A32

Apihlak at 00:45, 5 January 2013

2013-01-05T00:45:57Z

← Older revision		Revision as of 03:45, 5 January 2013
Line 4:		Line 4:

	='''Autor'''=		='''Autor'''=
	Andres Pihlak ~~A22~~		Andres Pihlak A32