Burp Suite Proxyとリクエストのインターセプト

Webアプリケーションのセキュリティテストでは、すべてのHTTPリクエストとレスポンスを確認して変更する必要があります。Burp Suiteはブラウザーと対象の間で中間者プロキシとして動作し、完全な可視性と制御を提供します。

Burp Community（無料版）: プロキシ、Repeater、Intruder（レート制限あり）、Decoder。Burp Pro: アクティブスキャナー、Intruderの全機能、Collaborator。学習や手動テストの大半では、Communityで十分です。

Burpはデフォルトで127.0.0.1:8080をリッスンします。このアドレスを経由してHTTP/HTTPSをプロキシするよう、ブラウザーを設定してください。切り替えを簡単にするには、FoxyProxy（Firefox拡張機能）を使用してください。

HTTPSをインターセプトするには、ブラウザーにBurpのCA証明書をインストールしてください。プロキシ経由で接続したブラウザーからhttp://burpsuiteにアクセスして証明書をダウンロードし、ブラウザーの信頼された証明書ストアに追加してください。

InterceptがONの場合、すべてのリクエストは転送前に確認のためBurpで一時停止します。各リクエストで停止したい場合と、トラフィックをパッシブに記録するだけの場合に応じて、インターセプトのオンとオフを切り替えてください。

Proxy > HTTP Historyには、プロキシ経由のすべてのリクエストとレスポンスが記録されます。任意のリクエストを右クリックすると、Repeater、Intruder、Scanner、Decoderに送信できます。入力ポイントを見つけるための主な作業場所です。

Repeaterを使用すると、個々のリクエストを手動で変更して再送信できます。リクエストを選択し、パラメーター、ヘッダー、本文を編集して、レスポンスを並べて比較してください。個々の入力をテストするために不可欠な機能です。

Intruderはパラメーターのファジングを自動化します。位置（§payload§）を指定し、ワードリストを読み込み、攻撃タイプ（Sniper、Pitchfork、Cluster Bomb）を選択して実行します。レスポンスの長さの違いを分析し、攻撃が成功したことを示す結果を探してください。

Decoderは、Base64、URLエンコーディング、HTMLエンティティ、16進数などの間でデータを変換します。Comparerは2つのレスポンスまたはリクエストの差分を表示するため、ブラインドインジェクションのテストに役立ちます。

Target Scopeには、認可された対象だけを設定してください。Burpはスコープ内のリクエストのみをインターセプトおよびテストするため、第三者のサービスを誤ってテストするのを防げます。

Burp Proでは、状態をプロジェクトファイルに保存できます。Communityでは、記録を維持するためにHTTP Historyと個々のリクエストをエクスポートしてください。重要な発見事項は、Burpのメモ機能に直接記録してください。

Burp Repeaterの目的は何ですか？

Burp Suiteは、Webアプリケーションのペネトレーションテストにおける中核的なツールです。プロキシはすべてのトラフィックを取得し、HTTP Historyではリクエストのサイトマップ全体を確認でき、Repeaterでは個々の入力を手動でテストでき、Intruderではファジングを自動化できます。必ず対象を認可されたものだけに設定し、HTTPSをインターセプトするためにCA証明書をインストールしてください。