Nástroje zabezpečenia s otvoreným zdrojom
Burp Suite: Web Proxy Professionals žijú v
Burp Suite je pracovný stôl typu man-in-the-middle na testovanie webu: zachytávací proxy, ktorý premení každú požiadavku na reláciu prehliadača na upraviteľný, prehrávateľný a automatizovateľný objekt. Jeho logika komponentov je to, čo oddeľuje Burp od jednotlačidlového skenera – Proxy na pozorovanie, Repeater na premyslené požiadavky, Intruder na štruktúrované fuzzing a aplikačný ekosystém (rozšírenia) na čokoľvek špecifické pre cieľ. Komunita a Pro sa úprimne delia v strede: bezplatná edícia plne pokrýva manuálne testovanie, zatiaľ čo automatický skener iba pre Pro a neobmedzený Intruder sú to, čo si platené záväzky skutočne kupujú.
Kľúčové body
- Srdcom je živá manuálna práca: zachyťte prihlásenie, upravte parameter rolí a prehrajte v Repeater: tam väčšina zistení v skutočných zákazkách pochádza z ručne vytvorených požiadaviek, nie zo skenerov.
- Repeater je profesionálny predvolený nástroj: vložiť, upraviť, znova odoslať, sledovať, žiadne boje o stav proxy, žiadne obmedzenia rýchlosti, iba upraviteľný HTTP shell.
- Intruder má rozsah fuzzing: body vstrekovania parametrov, zoznamy užitočného zaťaženia a diferencovanie odozvy; edícia Community to obmedzuje, edícia Pro robí skenovanie rýchlosťou aplikácie.
- Komunita vs Pro, úprimne: Komunita dáva všetko manuálne zadarmo a nikdy nevyprší; Pro pridáva automatizovaný skener, rýchlejší Intruder a nástroje v hodnote svojej ročnej licencie na klientsku prácu – cena je kvalitatívna a bezplatná edícia je kompletným vzdelávacím prostredím.
- Rozšírenie výkonu: Logger++, Autorize, JWT Decoder a zvyšok BApp Store premenia Burp na pracovný stôl pre jednotlivé úlohy a nie na jeden pevný produkt.
- Mapa stránky a disciplína cieľového rozsahu: definujte rozsah pred kliknutím (pravidlá cieľového rozsahu), takže proxy zaznamená všetko, čo ste testovali, bez jedinej náhodnej domény mimo zmluvy.
- Nastavenie certifikátu je skutočným prvým krokom: nainštalujte si certifikát Burp's CA do svojho prehliadača alebo úložiska dôveryhodnosti operačného systému a zistite, ktoré nastavenia servera proxy sa menia podľa jednotlivých nástrojov (prehliadač vs. CLI verzus mobil).
- Hlasitosť je voľba: pasívne skenovanie prebieha len pri prehliadaní, aktívne skenovanie môže zahltiť formuláre a prevrátiť slabé koncové časti, takže agresivitu skenera prispôsobte písomnej tolerancii zákazky.
Poznámka z teréna
Takmer žiadny produkt zapojenia, ktorý vyrábame, neprežije bez žiadosti Repeater v jeho zložke dôkazov – nález bol ručne potvrdený v jednej žiadosti a Pozorovaný na otvorenej karte Burp. Rozšírovače ako Autorize zaplatili inštaláciu raz a nikdy neodišli.
Často kladené otázky
Je bezplatné vydanie Spoločenstva profesionálne použiteľné?
Na manuálnu prácu úplne áno; profesionálne použitie si nakoniec vyžaduje skener Pro a rýchlostné limity, ale komunita pokrýva učenie a prekvapivé množstvo skutočného testovania.
Burp vs OWASP ZAP?
Burpovo zloženie a ekosystém rozšírenia je to, čo zamestnávalo poradenské firmy; ZAP je skutočne schopný a bezplatný a tímy si vyberajú skôr na základe hĺbky pracovného postupu ako na základe marketingu.
Môže testovať API a mobilné aplikácie?
Áno: nasmerujte ľubovoľného HTTP klienta na proxy a Burp ho uvidí; mobilné nastavenia znamenajú smerovanie prevádzky telefónu cez Burp a dôverovanie jej CA.
Čo je mimo možnosti poctivého testovania?
Bez ohľadu na to, čo zmluva vylučuje: testovanie výrobného rozsahu, integrácie tretích strán a akékoľvek narábanie s údajmi nad rámec toho, čo povoľuje plán zapojenia.
Ako Kinetikatech pomáha s nástroje zabezpečenia s otvoreným zdrojom
To je to, čo robíme každý deň: Profesionáli testovacej sady nástrojov majú skutočne nabité: skenery, sniffery, crackery a webové servery proxy vysvetlili spôsob, akým sa používajú pri skutočných stretnutiach – príkazy, príznaky, výstupy a kde každý sedí v metodológii. Naša služba Testy penetrácie a Bezpečnosť Linuxových serverov pokrýva všetko od hodnotenia po implementáciu, monitoring 24/7 a núdzovú reakciu do 30 minút.