Scanner en extensies

Passief scannen observeert alleen het verkeer dat je genereert, dus het is veilig en stil. Actief scannen verzendt speciaal samengestelde payloads en kan de status van de server veranderen.

Gebruik actief scannen alleen tegen geautoriseerde doelen die geen productieomgeving zijn, wanneer dat mogelijk is.

Je kunt vanaf het dashboard een scan starten met een URL, of met de rechtermuisknop op items in de sitestructuur van het doel klikken en 'Scannen' kiezen.

Beperk het bereik van je scan strikt, zodat deze niet terechtkomt in systemen buiten het bereik.

Bevindingen verschijnen in de lijst Probleemactiviteit, met een ernstniveau en een betrouwbaarheidsniveau.

Betrouwbaarheid is belangrijk: een 'Zekere' SQL-injectie is betrouwbaarder dan een 'Voorlopige' en moet als eerste worden gecontroleerd.

Geautomatiseerde scanners produceren vals-positieven. Reproduceer een gemeld probleem altijd in Repeater voordat je het in je rapport opneemt.

Jouw naam staat bij de bevinding, niet die van de scanner.

Scanners zijn uitstekend in fouten op basis van patronen, maar missen fouten in de bedrijfslogica: gebrekkige toegangscontrole, prijsmanipulatie en het omzeilen van werkstromen.

Hiervoor is menselijk redeneervermogen nodig. Daarom is een scan een beginpunt en niet de volledige controle.

De functionaliteit van Burp wordt uitgebreid via de BApp Store, een marktplaats met extensies van de ontwikkelaarsgemeenschap en officiële extensies, in het tabblad Extensies.

Extensies voegen nieuwe scancontroles, decoders en integraties toe.

Een paar extensies zijn bijna onmisbaar voor serieuze beveiligingscontroles.

• Logger++ voor geavanceerde registratie van verzoeken.
• Autorize voor geautomatiseerde controles van toegangsrechten.
• Active Scan++ voor extra scancontroles.
• JSON Web Tokens voor het bewerken van JWT's.

Je kunt aangepaste extensies schrijven in Java, Python (via Jython) of Kotlin met de Montoya API.

Met aangepaste extensies kun je logica automatiseren die specifiek is voor de toepassing die je controleert.

De werkwijze van experts combineert beide: laat Scanner en extensies zoeken naar de voor de hand liggende problemen en besteed daarna je tijd aan logische fouten en het controleren van de uitvoer van de scanner.

Automatisering vergroot de dekking; menselijk inzicht vindt de diepere fouten.

Je hebt geleerd hoe je met Scanner en extensies automatiseert.

• Scanner verkent en controleert daarna; passief is veilig, actief verzendt payloads.
• Problemen hebben een ernstniveau en betrouwbaarheidsniveau; controleer ze altijd in Repeater.
• Scanners missen fouten in de bedrijfslogica.
• De BApp Store voegt extensies zoals Autorize en Logger++ toe.
• Schrijf aangepaste extensies via de Montoya API.

Vervolgens voer je een volledige webtoepassingscontrole van begin tot eind uit.