Workflow pratici

Ora conosce i singoli strumenti di Burp. In questa lezione li combinerà in un realistico flusso di lavoro end-to-end per testare un'applicazione web.

Un flusso di lavoro ripetibile consente di essere scrupolosi e di non trascurare alcuna area.

Prima di fare qualsiasi operazione, imposti l'ambito della destinazione in base alle regole d'ingaggio. In questo modo ogni strumento rimarrà focalizzato e il test sarà conforme alle autorizzazioni.

Abiliti i filtri 'in-scope only' in tutto Burp.

Esplori l'intera applicazione tramite il proxy utilizzando il browser integrato. Mentre fa clic, Burp crea una mappa del sito con URL e parametri.

Esegua l'accesso, utilizzi ogni funzionalità e attivi ogni modulo per completare la mappa.

Esamini la cronologia HTTP alla ricerca di richieste interessanti: qualsiasi richiesta contenente ID, token, caricamenti di file o percorsi amministrativi.

Questi sono gli obiettivi candidati per test manuali più approfonditi.

Avvii un audit di Scanner sulla mappa del sito nell'ambito definito, così da rilevare i problemi più evidenti mentre continua con i test manuali.

Lasci che l'automazione venga eseguita in background e si concentri sulla logica.

Porti in Repeater una richiesta contenente l'ID di una risorsa e sostituisca l'ID con quello di un altro utente. Se ottiene i dati dell'altro utente, si tratta di un IDOR.

L'estensione Autorize automatizza questa verifica durante l'intera sessione.

Invii i parametri promettenti a Intruder ed esegua il fuzzing con payload d'iniezione per cercare SQLi, XSS e command injection.

Osservi i risultati alla ricerca di risposte di errore o payload riflessi.

Esamini la logica di accesso e della sessione: password deboli, limiti di velocità mancanti, token prevedibili e fissazione della sessione.

Intruder esegue il brute force delle credenziali; Repeater esamina il modo in cui i token vengono emessi e riutilizzati.

Riproduca in modo pulito in Repeater ogni possibile risultato. Lo confermi, acquisisca le prove della richiesta e della risposta e assegni un livello di gravità.

Scarti i falsi positivi prima che finiscano nei Suoi appunti.

Per ogni risultato confermato, salvi la richiesta e la risposta esatte, oltre a uno screenshot se l'impatto è visivo.

Oscuri immediatamente eventuali dati reali dei clienti.

Inserisca i risultati verificati nella struttura del rapporto appresa in precedenza: riepilogo esecutivo, tabella dei rischi, risultati dettagliati e correzioni.

Il flusso di lavoro di Burp produce il materiale grezzo; una scrittura chiara lo trasforma in valore.

Verifichi la Sua comprensione del flusso di lavoro.

Ha appreso un flusso di lavoro end-to-end con Burp.

• Definire l'ambito, quindi mappare l'applicazione tramite il proxy.
• Esaminare la cronologia HTTP ed eseguire una scansione con Scanner.
• Utilizzare Repeater per il controllo degli accessi e Intruder per il fuzzing e l'autenticazione.
• Verificare ogni risultato e raccogliere prove con i dati sensibili oscurati.
• Inserire i risultati verificati in un rapporto strutturato.

Ha completato il corso Burp Suite Mastery.