Burp Suite
Sissejuhatus
Burp Suite on platvorm turvatestimaks erinevaid veebiaplikatsioone, mis hõlmab enda all mitmeid tööriistu. Need funktsioneerivad koos ning toetavad kogu testimise protsessi, alustadest kaardistamisest, analüüsist kuni rünneteni välja. Burp Suite-ga kaasas olevad tööriistad suudavad käsitleda HTTP päringuid, järjepidevust, autentimist, logimist, hoiatamist ning laiaulatuslikkust.
Burp Suite on lihtsalt käsitatav ning intuitiivselt kasutatav, kuid algajale võib see tunduda liiga keeruline. See võimaldab seadeid erinevalt konfigureerida ning on kasutusel ka kogenumatel testijatel.
PS: Ainult täisversioon teeb automatiseeritud turvatestimist ning põhjalikku analüüsi.
Burp Suite võimalab leida:
- XSS
- SQL injection
- Seadistuse ning küpsiste probleeme (Configuration and Cookie issues) jne.
Ei võimalda leida:
- CSRF (Cross-site request forgey)
- Loogikavigu (Business Logic Flaws)
- Stored XSS jne.
Nende testimisel on soovitav kasutada OWASP [1] testimise manuali.
Burp Suite töövoog
Seadistamine
Kõik muudatused on tehtud nii, et nad töötavad Burp Suite algseadetega.
Burp Suite ning brauser töötavad koos kuna Burp funktsioneerib kui HTTP proxy server ning kõik HTTP/S liiklus läbi brauseri läheb ka läbi Burb-i. Et teha testimisi tuleb konfigureerida ka brauser. Burb-i proxy kuulab porti 8080 ning seetõttu tuleks brauseris muuta proxy kuulaja „127.0.0.1:8080“. [2]
Tööriistad
Spider
Burp Spider indekseerib ning genereerib automaatselt kaardi veebiaplikatsioonidest. Seda on hea kasutada väga suurte aplikatsioonide puhul või kui on soov kiiresti testida. Kuna spider kasutab erinevaid tehnikaid, siis mõningatel juhtudel võib tekkida olukordi, kus registreeritakse uued kasutajad, genereeritakse e-maili tagasiside või muudetakse aplikatsiooni seisu. Selle ennetamiseks tuleks valida enda jaoks vajalikud seaded.
Scanner (ainult täisversioonil)
Burp Scanner on HTTP päringute automaatne skanneerija, mis võimaldab leida erinevaid turvaauke. Pärast skanneerimist on võimalus vaadata põhjalikku vigade analüüsi erinevate tabelitega. Iga tulemus sisaldab detailset nõuannet, sealhulgas päringuid ning vastuseid. Raportid saab salvestada HTML või XML formaati.
Intruder
Intruder võimaldab teha kohandatud automaatseid rünnakuid. Tänu sellele, et intruder on seadistatav, võimaldab see teha erinevaid rünnakuid. Burp Intruder võtab HTTP päringu ning võimaldab modifitseerida seda vastavalt vajadusele. Vastuste tagasi saatmise saab automatiseerida turvarünneteks. Igaks rünnakuks tuleb määrata erinevad payload-id [3] ning positsioonid algpäringul. Intruder toetab erinevaid rünnaku tüüpe, mis määrab ära, kuidas payloadi positsioonid asetsevad rünnaku ajal. [4]
Repeater
Burp repeater on lihtne tööriist, mis võimaldab manuaalselt algpäringut muuta ning vastus saata mitmetes kordades tagasi serverile ja seejärel analüüsida tagasi tulnud vastuseid. Sellega saab tuvastada päringu parameetrite muutmisel tekkinud sisend-põhiseid turvaauke, loogikavigu jne.
Decoder
Burp Decoder on lihtne tööriist, mis muudab kodeeritud (encoded) andmed kanoolilisele (canonical) kujule või algandmed ( raw data ) räsi (hashed) kujule.
Comparer
Comparer võimaldab visuaalselt võrrelda kahte andmehulka. See tööriist võimaldab võrrelda nii sõnu kui ka baite.
Kokkuvõte
Burp Suite pakub erinevaid testimisvõimalusi nii manuaalsena kui ka automatiseerituna. Eriti mugavaks teeb selle see, et programm annab täieliku kontrolli testijale ning võimaldab luua detailseid analüüse aplikatsioonidest, mida soovitakse testida.
Kasutatud kirjandus
http://www.portswigger.net/burp/help/
http://www.securityninja.co.uk/hacking/burp-suite-tutorial-the-intruder-tool/
Autor
Andres Pihlak A32
05.01.13
