Burp suite

Burp Suiteمهدیس قنبریان

معرفی يک چهارچوب مجتمع و ساده برای ارزيابی برنامه های

کاربردی تحت وب

ابزار فوق العاده ای برای انجام دادن تست های امنیتی رویوب سایت ها

توسط شرکتPortSwigger Ltd

به زبان جاوا و اجرا شدن در هر سیستم عاملی

ذاتا يک پراکسی وب محلی

معرفیدارای قابلیت های فراوان

کمک به تغییر ترافیک ارسالی و دریافتی از روی وب سایت ها دارای یکSpider برای بدست آوردن بخش های مختلف وب سایت دارایScanner امنیتی برای Scan وب سایت ابزارIntruder برای تکرار حمالت خاص امکان تکرار هر درخواست ابزار تست میزان تصادفی بودن نشست هاامکان ذخیره سازی و ادامه دادن آزمون ها در هر زمان

Burpپيکربندی پراکسی Burp proxy میانجی برای درخواست های ارسالی از طرف

مرورگر به برنامه تحت وب در حالت پيش فرض، پيکربندیBurp proxy در حالت شنود بر

8080روی پورت شماره Proxy -> Optionزدن تیک ،

running گزینه

پيکربندی مرورگر :در مرورگرTools -> Advanced -> NetworkSettings گزینهManual Proxy Configuration برایHTTP Proxy و برای 127.0.0.1 مقدار Port آن مقدار

8080

دریافت اطالعات مرورگر در برنامهBurp Suite: Proxy -> Intercept دکمهIntercept is on قرار گرفتن در حالت Intercept is off

Target-Site Map کاوش کردن وب سايت قربانی برای جمع آوری اطالعات از

منابع آنبه عنوان نمايش دهنده نقشه سايتسه بخش اصلیسمت چپ: سایت هایی که درخواستی به آنها ارسال کردید

اطالعاتی از نحوه قرارگیری فایل های سایت سمت راست، قسمت باال: تمامRequest هایی که از سیستم

شما ارسال شده اند اطالعاتی از جملهMethod آدرس ،URL داشتن یا نداشتن پارامترهای ،

ورودی، کد پاسخ، طول درخواست به بیت، نوع درخواست و … . با انتخاب یک درخواست در قسمت باال اطالعات تکمیلی آن

Requestدرخواست در قسمت پایین و دارای دو بخش Responseو

Target-Site Map Request

Raw مشاهده به صورت متنی :Params اطالعات پارامترها به صورت جدولی : Headerاطالعات هدرهای ارسالی :Hex 16 : مشاده کل درخواست در مبنای

Response دو بخش اضافیHTML و Render HTML ک_دهای :HTML ارسالی سرور Renderهمان نتیجه مشاهده شده در مرورگر :

Target-Site Map

Target-Scope

Target->Site Mapبا راست کلیک بر روی هر آدرس

Target-Scope

Target-Scope

برای اضافه کردن یک آدرس ازScope زدن دکمه Add

Proxy-Intercept

Intercept is on

پس از انجام تغییرات با زدن دکمهForward ارسال ، درخواست

Dropحذف کلی درخواست و جلوگیری از ارسال

برای تغییر هدف یاTarget درخواست با زدن دکمه مداد Forwardکوچک در باالی دکمه

دستکاری درخواست های وب تغییر درخواست هایhttp و تحلیل پاسخگويی های وب سرور

برنامه کاربردی در قسمتRaw :

ویرایش هر کدام از جنبه های درخواست در قسمتParams :

از قسمت راست کلیک بر رویAdd( انتخاب يک نوع پارامتر مناسبURL، body یا cookie )

برای پارامتر های body و از نوع GET برای پارامتر های URLاز نوع ▪POST

تایپ نام و مقدار پارامتر جديدی

Proxy-Intercept

Proxy-HTTP history مشاهده تمامی درخواست های ارسالی در يک قالب ليست

شده

Proxy-Option

قسمتintercept server response متوقف ساختن پاسخ سرور در صورت توقف درخواست

کالینت بررسیinput validation vulnerabilities ارزیابی پاسخ سرور برای تمامی درخواست های پنهانی

قسمتmatch and replace بررسی يک برنامه که برای دستگاه های موبايل طراحی شده

است با استفاده از يک مرورگر در سيستم خود

Proxy-Option

قسمتresponse modification اصالح کردن خودکار پاسخ هایHtml بررسی اینکه آيا برنامه کاربردی تحت وب هدف شما از اعتبار

سنجی سمت سرور استفاده می کند يا خير گزينهunhide hidden from field نمایش فيلدهای مخفی قالب :html گزينهenable disabled from field ثیت تمامی ورودی ها به قالب های :

حاضر در صفحه گزينهremove input field length limits وارد کردن رشته هايی با :

Htmlاندازه بزرگتر از حد استاندارد به درون فيلد های متنی صفحه گزينهremove JavaScript from validation حذف تمامی کنترل کننده :

htmlهای جاواسکرپيت درون قالب های گزينهremove all JavaScript حذف تمامی اسکريپت های جاوا به :

صورت کامل گزینهremove object tagsحذف شی های نهفته درون مستندات :

Spider

خزیدن در يک وب سايت و کشف همه مسیرها و بدست آوردنتمامی منابع پنهان و آشکار آن

Target->Site Map کلیک راست روی دامین مورد نظر خود و گزینه، Spider this Host

مشاهده تعداد درخواست های ارسالی و میزان اطالعات دریافتیقابلیت های این بخش

خواندن و استفاده از فایلrobots.txt شخصی سازی شده404تشخیص خطاهای درخواست دایرکتوری اصلی در هر شاخهدرخواست صفحات با پارامترهای مختلف و بدون پارامتر امکانSpideringتنها در زمانی که شما صفحات را مرور می کنید امکانSubmitخودکار فرم ها و پر کردن مقادیر آن ها امکان ورود به سایت هایی که دارای صفحه ورود هستندSpider کردن به صورت Multithreadو یا چندنخی با کنترل کاربر امکان تعریفHeaderهای مشخص برای ایجاد درخواست ها

Spider

Spider

تنظیم کردنspider در تب Option برای وب سايت های بزرگ، تغييرmaximum link depth

Spider

:در حالت ميزبان های آسيب پذير با منابع سيستمی محدود های ارسالیthreadتغییر تعداد

افزایش تعداد تالش های مجدد در صورت قطع شدن شبکه وزمان توقف قبل از هر آزمايش

Spider

وارد کردن خودکار کلمه های عبور و نام های کاربردی را درقسمت ورود به برنامه

Scanner

پويشگر پويا برنامه های تحت وب در نسخه حرفه ای اينبرنامه

پویش خودکار وب سايت ها و شناسایی ضعف های امنيتیرايج

Scanner

پويشگری مستقيم : ارسال بسته های درخواستیhttp با الگوی های تهاجمی خاص و تحليل کردن پاسخ سرور به بسته

درخواستی با روش تطبيق الگو هوشمند يا شناسايی ضعف های امنيتی

پويشگری غير مستقيم: استفاده از درخواست ها و پاسخ هایذخيره شده برای شناسايی ضعف های امنيتی و تجزيه و

تحليل به صورت آفالين

Intruder

Brute Force یکی از شیوه های معمول نفوذ در بین هکرها با سرعت زیادی ارسال درخواست های متوالی با ورودی های مشخص

را به سمت سرور

در بخشTarget کلیک راست روی یکی از درخواست های ، Send To Intruderموردنظر و سپس گزینه

Intruder

Intruder-Target

مشخصکردن آدرس ميزبان هدف و پورت آن

Intruder-Position

با انتخاب بخش هایی از درخواست به برنامه نشان دهید کهچه قسمت هایی در هر درخواست باید تغییر کند.

هر بخش از درخواست را که مایل به تغییر آن در هر قرار دهید و یا آن را §درخواست هستید بین دو عالمت

را بزنید. اگر این کار را به درستی Addانتخاب نمایید و دکمه انجام دهید، بخش مربوطه به رنگ نارنجی در خواهد آمد.

Intruder-Position

Intruder- Start Attack

Repeater

اجرای یک درخواست را با کمی تغییر مجدد کلیک راست روی یکی از درخواست ها در

و گزینهTarget-> Site Map بخش Send To Repeater

Repeater

Sequencer

تجزيه و تحليل داده های پيش بينی شده برنامه از جمله کوکی anti-CSREهای نشست و توکن های

کلیک راست روی یکی از درخواست ها در و گزینهTarget-> Site Map بخش

Send To Sequencer

Sequencer

Sequencer

Sequencer

Decoder

کلیک راست روی متن کد شده و گزینهSend to Decoder

Decoder