Nástroje zabezpečení s otevřeným zdrojovým kódem
Burp Suite: Web Proxy Professionals žijí
Burp Suite je pracovní stůl typu man-in-the-middle pro testování webu: zachycovací proxy, který promění každý požadavek na relaci prohlížeče na upravitelný, znovu hratelný a automatizovatelný objekt. Jeho logika součástí je to, co odděluje Burp od jednotlačítkového skeneru – proxy pro pozorování, opakovač pro promyšlené požadavky, Intruder pro strukturované fuzzing a ekosystém aplikace (rozšíření) pro cokoli specifického pro cíl. Komunita a Pro se poctivě rozdělují uprostřed: bezplatná edice plně pokrývá manuální testování, zatímco automatický skener pouze pro Pro a neomezený Intruder jsou to, co si placené angažmá skutečně kupují.
Klíčové body
- Srdcem je živá manuální práce: zachycení přihlášení, úprava parametru rolí a přehrávání v Repeateru: tam většina nálezů ve skutečných zakázkách pochází z ručně vytvořených požadavků, nikoli ze skenerů.
- Repeater je profesionální výchozí nástroj: vložit, upravit, znovu odeslat, sledovat, žádné bitvy o stav proxy, žádné omezení rychlosti, pouze upravitelný HTTP shell.
- Intruder má rozsah fuzzing: body vkládání parametrů, seznamy užitečné zátěže a diferenciace odezvy; edice Community to omezuje, edice Pro provádí skenování rychlostí aplikace.
- Komunita vs Pro, upřímně: Komunita dává vše manuálně zdarma a nikdy nevyprší; Pro přidává automatický skener, rychlejší Intruder a nástroje v hodnotě roční licence pro klientskou práci – cena je kvalitativní a bezplatná edice je kompletní výukové prostředí.
- Rozšiřující výkon: Logger++, Autorize, JWT Decoder a zbytek BApp Store promění Burp na pracovní stůl pro jednotlivé zakázky spíše než na jeden pevný produkt.
- Mapa webu a disciplína cílového rozsahu: definujte rozsah před kliknutím (pravidla cílového rozsahu), takže proxy zaznamená vše, co jste testovali, bez jediné náhodné domény mimo smlouvu.
- Nastavení certifikátu je skutečným prvním krokem: nainstalujte si certifikát Burp's CA do svého prohlížeče nebo úložiště důvěryhodnosti OS a zjistěte, která nastavení proxy se mění podle jednotlivých nástrojů (prohlížeč vs. CLI vs mobilní).
- Volba je hlasitost: pasivní skenování probíhá pouhým procházením, aktivní skenování může zahltit formuláře a převrhnout slabé backendy, takže agresivitu skeneru přizpůsobte písemné toleranci zakázky.
Poznámka z terénu
Téměř žádný produkt zakázky, který produkujeme, nepřežije bez požadavku opakovače v jeho složce důkazů – nález byl ručně potvrzený v jedné žádosti a pozorován na otevřené kartě Říhání. Rozšíření jako Autorize zaplatili instalaci jednou a nikdy neodešli.
Časté dotazy
Je bezplatná edice Community použitelná profesionálně?
Na ruční práci zcela ano; profesionální použití nakonec chce skener Pro a rychlostní limity, ale komunita pokrývá učení a překvapivé množství skutečného testování.
Burp vs OWASP ZAP?
Burpovo složení a ekosystém rozšíření je tím, co zaměstnávalo poradenské firmy; ZAP je skutečně schopný a bezplatný a týmy vybírají spíše podle hloubky pracovního postupu než podle marketingu.
Může testovat API a mobilní aplikace?
Ano: nasměrujte libovolného HTTP klienta na proxy a Burp ho uvidí; mobilní nastavení znamenají směrování provozu telefonu přes Burp a důvěřování jeho CA.
Co je mimo prostor pro poctivé testování?
Bez ohledu na to, co smlouva vylučuje: testování ve výrobním měřítku, integrace třetích stran a jakékoli zpracování dat nad rámec toho, co povoluje plán zakázky.
Jak Kinetikatech pomáhá s nástroje zabezpečení s otevřeným zdrojovým kódem
Upřímně, většina týmů se na nás obrací poté, co to nejdřív zkusila sama: Profesionálové z testovací sady nástrojů mají skutečně nabité: skenery, sniffery, crackery a webové proxy vysvětlily způsob, jakým se používají při skutečných zakázkách – příkazy, příznaky, výstupy a kde každý sedí v metodice. Naše služba Penetrační testy a Zabezpečení linuxových serverů je tu proto, abyste nástroje zabezpečení s otevřeným zdrojovým kódem nepoznávali na vlastní kůži; my se postaráme o zprovoznění, dohled a překvapení ve tři ráno.