Безбедносни алати отвореног кода
Бурп Суите: Веб проки професионалци живе у
Бурп Суите је радни стол за веб тестирање „човека у средини“: прокси за пресретање који сваки захтев за сесију прегледача претвара у објекат који се може уређивати, поново репродуковати и аутоматизовати. Његова компонентна логика је оно што одваја Бурп од скенера са једним дугметом — Прокси за посматрање, Репеатер за промишљене захтеве, Интрудер за структурисано фуззовање и екосистем апликације (проширења) за било шта специфично за циљ. Заједница и Про су се искрено поделили на средини: бесплатно издање у потпуности покрива ручно тестирање, док аутоматизовани скенер само за Про и неограничени Интрудер су оно што плаћени ангажмани заправо купују.
Кључне точке
- Ручни рад уживо је срце: пресретните пријаву, уредите параметар улога и поновите у Репеатер-у: тамо већина налаза у стварним ангажманима долази из ручно израђених захтева, а не скенера.
- Репеатер је професионална подразумевана алатка: налепите, модификујте, поново пошаљите, гледајте, без борбе са стањем проксија, без ограничења брзине, само ХТТП љуска која се може уређивати.
- Уљез је фуззинг у опсегу: тачке убризгавања параметара, листе корисног оптерећења и диференцијација одговора; издање Заједнице га гаси, Про издање врши скенирање брзином до апликације.
- Заједница против Про, искрено: Заједница даје све ручно бесплатно и никада не истиче; Про додаје аутоматизовани скенер, бржи Интрудер и алате вредне своје годишње лиценце за рад са клијентима — цена је квалитативна, а бесплатно издање је комплетно окружење за учење.
- Снага проширења: Логгер++, Ауторизе, ЈВТ Децодер и остатак БАпп Сторе-а претварају Бурп у радни сто за сваки ангажман, а не у један фиксни производ.
- Дисциплина мапе сајта и циљног опсега: дефинишите обим пре него што кликнете (правила циљаног опсега), тако да прокси бележи све што сте тестирали без иједног случајног домена ван уговора.
- Подешавање сертификата је прави први корак: инсталирајте Бурп-ов ЦА сертификат у свој прегледач или складишни простор за поверење ОС-а и сазнајте која се подешавања проксија мењају по алату (прегледач наспрам ЦЛИ у односу на мобилни).
- Гласноћа је избор: пасивно скенирање се дешава само прегледањем, активно скенирање може преплавити форме и срушити слабе позадине, па скалирајте агресивност скенера на писану толеранцију ангажмана.
Теренска биљешка
Готово ниједан резултат ангажовања који производимо не преживи без захтева за понављање у фасцикли са доказима — налаз је био ручно потврђен у једном захтеву и примећен на отвореној картици Подригивање. Екстендери као што је Ауторизе су једном платили своју инсталацију и никада нису отишли.
Цесто постављања питања
Да ли се бесплатно издање заједнице може користити професионално?
За ручни рад, потпуно да; професионална употреба на крају жели Про скенер и ограничења брзине, али Заједница покрива учење и изненађујућу количину стварног тестирања.
Бурп вс ОВАСП ЗАП?
Бурпов састав и екосистем проширења су оно што је окупирало консултанте; ЗАП је заиста способан и бесплатан, а тимови бирају на основу дубине тока посла, а не маркетинга.
Може ли тестирати АПИ-је и мобилне апликације?
Да: усмерите било који ХТТП клијент на прокси и Бурп га види; мобилна подешавања значе рутирање саобраћаја телефона кроз Бурп и поверење његовом ЦА.
Шта је ван простора за поштено тестирање?
Шта год уговор искључује: тестирање на нивоу производње, интеграције трећих страна и било какво руковање подацима мимо онога што план ангажовања дозвољава.
Како Kinetikatech помаже код безбедносни алати отвореног кода
Јскрено, већина тимова дође до нас након што су прво покушали сами: Професионалци у кутији алата за тестирање су заправо пуни: скенери, њушкари, крекери и веб проксији објаснили су начин на који се користе у стварним ангажманима — команде, заставице, излази и где се сваки налази у методологији. Наша услуга Penetration Testing и Linux Server Security постоји да се не морате упознавати с безбедносни алати отвореног кода на тежи начин; ми се бринемо о пуштању у рад, надзору и изненађењима у три ујутро.