Scanner et extensions

Le Scanner de Burp teste automatiquement une application à la recherche de vulnérabilités courantes, ce qui vous permet de vous concentrer sur les failles de logique plus difficiles à détecter manuellement.

Il est disponible dans les éditions Professional et Enterprise de Burp Suite, mais pas dans l'édition Community.

Un scan de Burp comporte deux phases : l'exploration découvre les pages et les entrées de l'application, tandis que l'audit teste chaque entrée découverte à la recherche de vulnérabilités.

Vous pouvez lancer uniquement l'exploration, uniquement l'audit, ou les deux.

Le balayage passif observe uniquement le trafic que vous générez ; il est donc sûr et discret. Le balayage actif envoie des charges utiles conçues pour l'occasion et peut modifier l'état du serveur.

Si possible, utilisez le balayage actif uniquement sur des cibles autorisées et hors production.

Vous pouvez lancer un scan depuis le tableau de bord avec une URL, ou cliquer avec le bouton droit sur des éléments du plan du site cible et choisir « Analyser ».

Définissez un périmètre strict pour votre scan afin qu'il ne s'étende pas à des systèmes hors périmètre.

Les constats apparaissent dans la liste activité des problèmes, avec une gravité et un niveau de confiance.

Le niveau de confiance est important : une injection SQL « ferme » est plus fiable qu'une injection « incertaine » et doit être vérifiée en premier.

Les outils d'analyse automatisée produisent des faux positifs. Reproduisez toujours un problème signalé dans Repeater avant de l'inclure dans votre rapport.

Votre nom est associé au constat, pas celui du Scanner.

Les outils d'analyse excellent dans la détection des failles fondées sur des schémas, mais manquent les failles de logique métier : contrôle d'accès défaillant, manipulation des prix et contournement des processus.

Ces failles nécessitent un raisonnement humain ; c'est pourquoi un scan constitue un point de départ et non l'intégralité du test.

Les fonctionnalités de Burp s'étendent grâce au BApp Store, une place de marché d'extensions communautaires et officielles accessible depuis l'onglet Extensions.

Les extensions ajoutent de nouvelles vérifications, des décodeurs et des intégrations au scan.

Quelques extensions sont presque indispensables pour effectuer des tests sérieux.

• Logger++ pour la journalisation avancée des requêtes.
• Autorize pour les tests automatisés du contrôle d'accès.
• Active Scan++ pour ajouter des vérifications au scan.
• JSON Web Tokens pour modifier des JWT.

Vous pouvez écrire des extensions personnalisées en Java, Python (via Jython) ou Kotlin à l'aide de l'API Montoya.

Les extensions personnalisées vous permettent d'automatiser une logique propre à l'application que vous testez.

Le processus d'un expert combine les deux approches : laissez Scanner et les extensions examiner les éléments évidents, puis consacrez votre temps aux failles de logique et à la vérification des résultats du Scanner.

L'automatisation élargit la couverture ; le jugement humain permet de trouver les failles profondes.

Vérifiez votre compréhension de Scanner et des extensions.

Vous avez appris à automatiser les tests avec Scanner et des extensions.

• Scanner explore puis audite ; le balayage passif est sûr, tandis que le balayage actif envoie des charges utiles.
• Les problèmes comportent une gravité et un niveau de confiance ; vérifiez-les toujours dans Repeater.
• Les outils d'analyse ne détectent pas les failles de logique métier.
• Le BApp Store ajoute des extensions comme Autorize et Logger++.
• Écrivez des extensions personnalisées via l'API Montoya.

Vous effectuerez ensuite un test complet d'une application Web, de bout en bout.