Sigurnosni alati otvorenog koda
Burp Suite: Web Proxy profesionalci žive u njemu
Burp Suite je radni stol za web testiranje: presretanje proxyja koji svaki zahtjev sesije preglednika pretvara u objekt koji se može uređivati, reproducirati i automatizirati. Njegova komponentna logika ono je što odvaja Burp od skenera s jednim gumbom — Proxy za promatranje, Repeater za promišljene zahtjeve, Intruder za strukturirani fuzzing i ekosustav aplikacije (ekstenzije) za sve što je specifično za cilj. Community i Pro pošteno su podijeljeni po sredini: besplatno izdanje u potpunosti pokriva ručno testiranje, dok su automatizirani skener samo za Pro i neograničeni Intruder ono što plaćeni angažmani zapravo kupuju.
Ključne točke
- Manuelni rad uživo je srce: presretnite prijavu, uredite parametre uloga i ponovno reproducirajte u Repeateru: tamo većina nalaza u stvarnim angažmanima dolazi iz ručno izrađenih zahtjeva, a ne skenera.
- Repeater je profesionalni zadani alat: zalijepite, modificirajte, ponovno pošaljite, gledajte, nema borbi za proxy stanje, nema ograničenja brzine, samo HTTP shell koji se može uređivati.
- Intruder je scoped fuzzing: točke ubacivanja parametara, korisničke liste i razlika u odgovoru; izdanje Community ga prigušuje, izdanje Pro skenira do brzine aplikacije.
- Zajednica protiv Pro, iskreno: Zajednica daje sve priručnike besplatno i nikad ne ističe; Pro dodaje automatizirani skener, brži Intruder i alat vrijedan svoje godišnje licence za rad s klijentima — cijena je kvalitativna, a besplatno izdanje potpuno je okruženje za učenje.
- Snaga proširenja: Logger++, Autorize, JWT Decoder i ostatak BApp Storea pretvaraju Burp u radnu površinu za svaki angažman umjesto u jedan fiksni proizvod.
- Mapa web mjesta i disciplina ciljnog opsega: definirajte opseg prije nego što kliknete (pravila ciljanog opsega), tako da proxy bilježi sve što ste testirali bez ijedne slučajne domene izvan ugovora.
- Postavljanje certifikata pravi je prvi korak: instalirajte Burpov CA certifikat u svoj preglednik ili OS pouzdanu trgovinu i saznajte koje se postavke proxyja mijenjaju po alatu (preglednik u odnosu na CLI u odnosu na mobilni).
- Glasnoća je izbor: pasivno skeniranje događa se samo pregledavanjem, aktivno skeniranje može preplaviti obrasce i srušiti slabe pozadine, stoga skalirajte agresivnost skenera prema pisanoj toleranciji angažmana.
Terenska bilješka
Gotovo niti jedna isporuka angažmana koju proizvodimo ne preživi bez zahtjeva za ponavljačem u svojoj mapi s dokazima — nalaz se mogao ručno potvrditi u jednom zahtjevu, a promatrano u otvorenoj kartici Podrigivanje. Proširivači kao što je Autorize platili su svoju instalaciju jednom i nikada nisu otišli.
Često postavljana pitanja
Može li se besplatno izdanje zajednice profesionalno koristiti?
Za ručni rad potpuno da; profesionalna uporaba na kraju želi Pro skener i ograničenja brzine, ali Zajednica pokriva učenje i iznenađujuću količinu stvarnog testiranja.
Burp protiv OWASP ZAP-a?
Burpov sastav i proširenje ekosustava ono je što je okupiralo konzultantske kuće; ZAP je uistinu sposoban i besplatan, a timovi biraju na temelju dubine tijeka rada, a ne marketinga.
Može li testirati API-je i mobilne aplikacije?
Da: usmjerite bilo koji HTTP klijent na proxy i Burp ga vidi; mobilne postavke znače usmjeravanje telefonskog prometa kroz Burp i povjerenje u njegov CA.
Što je izvan okvira poštenog testiranja?
Što god ugovor isključuje: testiranje proizvodnog opsega, integracije trećih strana i bilo kakvo rukovanje podacima izvan onoga što plan angažmana dopušta.
Kako Kinetikatech pomaže kod sigurnosni alati otvorenog koda
Danas to radimo ovako: Profesionalci s alatima za testiranje zapravo drže punim: skeneri, snifferi, krekeri i web proxyji objasnili su način na koji se koriste u stvarnim angažmanima — naredbe, oznake, izlazi i mjesto svakog od njih u metodologiji. Naša usluga Testovi prodiranja i Sigurnost Linux servera pokriva sve, od procjene do implementacije, nadzora 24/7 i hitne intervencije u 30 minuta.