ओपन-सोर्स सुरक्षा उपकरण
बर्प सूट: वेब प्रॉक्सी पेशेवर रहते हैं
बर्प सूट वेब परीक्षण के लिए मैन-इन-द-मिडिल वर्कबेंच है: एक इंटरसेप्टिंग प्रॉक्सी जो प्रत्येक ब्राउज़र-सत्र अनुरोध को एक संपादन योग्य, पुन: चलाने योग्य, स्वचालित ऑब्जेक्ट में बदल देता है। इसका घटक तर्क बर्प को एक-बटन स्कैनर से अलग करता है - अवलोकन के लिए प्रॉक्सी, विचारशील अनुरोधों के लिए पुनरावर्तक, संरचित फ़ज़िंग के लिए घुसपैठिए, और किसी लक्ष्य के लिए किसी भी विशिष्ट चीज़ के लिए ऐप पारिस्थितिकी तंत्र (एक्सटेंशन)। समुदाय और प्रो ईमानदारी से बीच में विभाजित हो गए: मुफ़्त संस्करण पूरी तरह से मैन्युअल परीक्षण को कवर करता है, जबकि प्रो-केवल स्वचालित स्कैनर और अप्रतिबंधित इंट्रूडर वे हैं जो भुगतान किए गए संलग्नक वास्तव में खरीदते हैं।
मुख्य बिंदु
- लाइव मैनुअल काम ही दिल है: एक लॉगिन को इंटरसेप्ट करें, रोल्स पैरामीटर को संपादित करें, और रिपीटर में फिर से चलाएं: वहां, वास्तविक जुड़ाव में अधिकांश निष्कर्ष हाथ से तैयार किए गए अनुरोधों से आते हैं, स्कैनर से नहीं।
- पुनरावर्तक पेशेवर डिफ़ॉल्ट उपकरण है: पेस्ट करें, संशोधित करें, पुनः भेजें, देखें, कोई प्रॉक्सी स्थिति नहीं लड़ती, कोई दर सीमा नहीं, बस एक संपादन योग्य HTTP शेल।
- घुसपैठिए को फ़ज़िंग के दायरे में रखा गया है: पैरामीटर इंजेक्शन बिंदु, पेलोड सूचियाँ, और प्रतिक्रिया भिन्नता; सामुदायिक संस्करण इसका गला घोंट देता है, प्रो संस्करण टू-एप्लिकेशन-स्पीड स्कैनिंग करता है।
- समुदाय बनाम प्रो, ईमानदारी से: समुदाय सब कुछ मुफ़्त में मैनुअल देता है और कभी समाप्त नहीं होता है; प्रो स्वचालित स्कैनर, तेज इंट्रूडर और क्लाइंट के काम के लिए अपने वार्षिक लाइसेंस के लायक टूलींग जोड़ता है - कीमत गुणात्मक है, और मुफ्त संस्करण एक संपूर्ण सीखने का माहौल है।
- एक्सटेंशन पावर: लॉगर++, ऑटोराइज़, JWT डिकोडर, और बाकी BApp स्टोर बर्प को एक निश्चित उत्पाद के बजाय प्रति-सगाई कार्यक्षेत्र में बदल देते हैं।
- साइट मैप और लक्ष्य स्कोप अनुशासन: आपके क्लिक करने से पहले स्कोप को परिभाषित करें (लक्ष्य स्कोप नियम), इसलिए प्रॉक्सी अनुबंध के बाहर एक भी आकस्मिक डोमेन के बिना आपके द्वारा परीक्षण की गई हर चीज को रिकॉर्ड करता है।
- प्रमाणपत्र सेटअप एक वास्तविक पहला कदम है: अपने ब्राउज़र या OS ट्रस्ट स्टोर में बर्प का CA प्रमाणपत्र स्थापित करें, और जानें कि प्रति टूल कौन सी प्रॉक्सी सेटिंग्स बदलती हैं (ब्राउज़र बनाम सीएलआई बनाम मोबाइल)।
- लाउडनेस एक विकल्प है: निष्क्रिय स्कैनिंग केवल ब्राउज़ करने से होती है, सक्रिय स्कैनिंग फॉर्म में बाढ़ ला सकती है और कमजोर बैकएंड को नष्ट कर सकती है, इसलिए सगाई की लिखित सहनशीलता के लिए स्कैनर की आक्रामकता को स्केल करें।
क्षेत्रीय टिप्पणी
हमारे द्वारा उत्पादित लगभग कोई भी संलग्नक इसके साक्ष्य फ़ोल्डर में पुनरावर्तक अनुरोध के बिना जीवित नहीं रहता है - निष्कर्ष एक अनुरोध में हाथ से पुष्टि करने योग्य था, और एक खुले बर्प टैब में देखा गया था। ऑटोराइज़ जैसे विस्तारकों ने एक बार अपनी स्थापना का भुगतान किया और कभी नहीं छोड़ा।
अक्सर पूछे जाने वाले प्रश्न
क्या निःशुल्क सामुदायिक संस्करण व्यावसायिक रूप से प्रयोग योग्य है?
मैनुअल काम के लिए, पूरी तरह से हाँ; व्यावसायिक उपयोग अंततः प्रो के स्कैनर और गति सीमा चाहता है, लेकिन समुदाय सीखने और वास्तविक परीक्षण की आश्चर्यजनक मात्रा को कवर करता है।
बर्प बनाम OWASP जैप?
बर्प की संरचना और विस्तार पारिस्थितिकी तंत्र पर परामर्शदाताओं का कब्जा है; ZAP वास्तव में सक्षम और मुफ़्त है, और टीमें मार्केटिंग के बजाय वर्कफ़्लो की गहराई के आधार पर चयन करती हैं।
क्या यह एपीआई और मोबाइल ऐप्स का परीक्षण कर सकता है?
हाँ: किसी भी HTTP क्लाइंट को प्रॉक्सी पर इंगित करें और बर्प इसे देखता है; मोबाइल सेटअप का अर्थ है फ़ोन के ट्रैफ़िक को बर्प के माध्यम से रूट करना और उसके सीए पर भरोसा करना।
ईमानदार परीक्षण के दायरे से बाहर क्या है?
अनुबंध में जो कुछ भी शामिल नहीं है: उत्पादन पैमाने का परीक्षण, तृतीय-पक्ष एकीकरण, और सगाई योजना द्वारा अधिकृत सीमा से परे कोई भी डेटा प्रबंधन।
ओपन-सोर्स सुरक्षा उपकरण में Kinetikatech कैसे सहायता करता है
यही हमारा रोज़ का काम है: परीक्षण टूलबॉक्स पेशेवर वास्तव में लोड रहते हैं: स्कैनर, स्निफ़र, क्रैकर, और वेब प्रॉक्सी ने समझाया कि उनका उपयोग वास्तविक संलग्नक - कमांड, झंडे, आउटपुट, और जहां प्रत्येक एक पद्धति में बैठता है, पर किया जाता है। हमारी पैठ परीक्षण और Linux सर्वर सुरक्षा सेवा इसे शुरू से अंत तक कवर करती है: आकलन, कार्यान्वयन, 24/7 निगरानी और 30 मिनट में आपात प्रतिक्रिया।