Flux de travail pratiques

Vous connaissez maintenant les différents outils de Burp. Cette leçon les assemble en un processus de test de bout en bout réaliste pour une application Web.

Un processus reproductible vous permet de rester rigoureux et d'éviter les zones oubliées.

Avant de toucher à quoi que ce soit, définissez le périmètre cible à partir des règles d'engagement. Ainsi, chaque outil reste ciblé et conforme à la loi.

Activez les filtres « dans le périmètre uniquement » dans tout Burp.

Parcourez l'ensemble de l'application via le proxy à l'aide du navigateur intégré. Au fil de vos clics, Burp construit un plan du site recensant les URL et les paramètres.

Connectez-vous, utilisez chaque fonctionnalité et soumettez chaque formulaire afin que le plan soit complet.

Parcourez l'historique HTTP à la recherche de requêtes intéressantes : toute requête contenant des ID, des jetons, des téléversements de fichiers ou des chemins d'administration.

Il s'agit de vos cibles potentielles pour des tests manuels plus approfondis.

Lancez un audit de Scanner sur le plan du site inclus dans le périmètre afin de détecter les problèmes évidents pendant que vous poursuivez les tests manuels.

Laissez l'automatisation s'exécuter en arrière-plan et concentrez-vous sur la logique.

Placez dans Repeater une requête contenant un ID de ressource et remplacez l'ID par celui d'un autre utilisateur. Si vous obtenez ses données, vous avez découvert une vulnérabilité IDOR.

L'extension Autorize automatise cette vérification sur l'ensemble de la session.

Envoyez les paramètres prometteurs dans Intruder et soumettez-leur des charges utiles d'injection dans le cadre de tests aléatoires afin de rechercher des injections SQLi, XSS et de commandes.

Surveillez les résultats à la recherche de réponses d'erreur ou de charges utiles réfléchies.

Examinez la logique de connexion et de session : mots de passe faibles, absence de limitation du débit, jetons prévisibles et fixation de session.

Intruder effectue une attaque par force brute sur les identifiants ; Repeater examine la façon dont les jetons sont émis et réutilisés.

Reproduisez proprement chaque constat potentiel dans Repeater. Confirmez-le, capturez les éléments de preuve de la requête et de la réponse, puis attribuez-lui une gravité.

Écartez les faux positifs avant qu'ils n'atteignent vos notes.

Pour chaque constat confirmé, enregistrez la requête et la réponse exactes, ainsi qu'une capture d'écran si l'impact est visuel.

Masquez immédiatement toute donnée réelle de client.

Intégrez vos constats vérifiés à la structure de rapport apprise précédemment : résumé exécutif, tableau des risques, constats détaillés et mesures correctives.

Le processus Burp fournit la matière première ; une rédaction claire lui donne sa valeur.

Vérifiez votre compréhension du processus.

Vous avez appris un processus Burp de bout en bout.

• Définissez le périmètre, puis cartographiez l'application via le proxy.
• Examinez l'historique HTTP et lancez un balayage avec Scanner.
• Utilisez Repeater pour le contrôle d'accès, et Intruder pour les tests aléatoires et l'authentification.
• Vérifiez chaque résultat et collectez des éléments de preuve expurgés.
• Intégrez les constats vérifiés à un rapport structuré.

Vous avez terminé le cours de maîtrise de Burp Suite.