Cyber Security Academy · Lekcja

Scanner i rozszerzenia

Automatyzuj testowanie

Scanner i rozszerzenia to bezpłatna lekcja Cyber Security Academy na CoddyKit. To lekcja 3 z 4. Możesz przeczytać całą lekcję poniżej za darmo — a potem ćwiczyć ją interaktywnie w przeglądarce z wbudowanym edytorem kodu i tutorem AI dostępnym 24/7. To część ścieżki edukacyjnej Cyber Security Academy, a Twój postęp synchronizuje się między webem a aplikacją CoddyKit. Kurs Cyber Security Academy zawiera 4 lekcji w sumie.

Automatyzacja za pomocą Scanner

Scanner w Burp automatycznie testuje aplikację pod kątem typowych podatności, pozwalając skupić się na trudniejszych, ręcznych błędach logiki.

Jest dostępny w edycjach Burp Suite Professional i Enterprise, ale nie w edycji Community.

Crawlowanie i audyt

Skan Burp ma dwie fazy: crawl wykrywa strony i dane wejściowe aplikacji, a audit sprawdza każdą wykrytą wartość wejściową pod kątem podatności.

Można uruchomić wyłącznie crawl, wyłącznie audit albo obie fazy.

Scan phases:
  1. Crawl  -> map URLs, forms, params
  2. Audit  -> test inputs for issues

Skanowanie pasywne i aktywne

Skanowanie pasywne jedynie obserwuje generowany przez Państwa ruch, dlatego jest bezpieczne i niewidoczne. Skanowanie aktywne wysyła spreparowane payloady i może zmieniać stan serwera.

Skanowanie aktywne należy prowadzić wyłącznie wobec autoryzowanych celów nieprodukcyjnych, jeśli jest to możliwe.

Rozpoczynanie skanu

Skan można uruchomić z panelu dashboard, podając adres URL, albo kliknąć prawym przyciskiem elementy mapy witryny celu i wybrać opcję „Scan”.

Należy precyzyjnie ograniczyć zakres skanu, aby nie objął systemów spoza zakresu.

Dashboard -> New scan
  URLs to scan: https://app.example.com
  Scope:        in-scope only

Odczytywanie problemów ze skanu

Wyniki pojawiają się na liście Issue activity wraz z poziomem ważności i oceną wiarygodności.

Wiarygodność ma znaczenie: SQL injection oznaczona jako „Firm” jest bardziej wiarygodna niż oznaczona jako „Tentative” i powinna zostać zweryfikowana w pierwszej kolejności.

Issue                 Severity  Confidence
SQL injection         High      Firm
Reflected XSS          Medium    Certain
Clickjacking           Low       Tentative

Weryfikuj, nie ufaj bezkrytycznie

Automatyczne skanery generują false positives. Zawsze należy odtworzyć zgłoszony problem w Repeater, zanim zostanie uwzględniony w raporcie.

To Państwo podpisują się pod wynikiem, a nie skaner.

Czego skanery nie wykrywają

Skanery doskonale radzą sobie z błędami wykrywalnymi na podstawie wzorców, ale nie wykrywają błędów logiki biznesowej: niedziałającej kontroli dostępu, manipulacji cenami ani omijania procesów.

Do ich wykrycia potrzebne jest ludzkie rozumowanie, dlatego skan jest punktem wyjścia, a nie całym testem.

BApp Store

Funkcjonalność Burp można rozszerzać za pomocą BApp Store — marketplace'u społecznościowych i oficjalnych rozszerzeń dostępnego na karcie Extensions.

Rozszerzenia dodają nowe kontrole skanera, dekodery i integracje.

Popularne rozszerzenia

Kilka rozszerzeń jest niemal niezbędnych podczas poważnych testów.

Logger++ do zaawansowanego rejestrowania żądań.
Autorize do automatycznego testowania kontroli dostępu.
Active Scan++ do dodatkowych kontroli skanera.
JSON Web Tokens do edytowania JWT.

Pisanie własnych rozszerzeń

Mogą Państwo pisać niestandardowe rozszerzenia w językach Java, Python (via Jython), or Kotlin, korzystając z API Montoya.

Niestandardowe rozszerzenia pozwalają automatyzować logikę specyficzną dla testowanej aplikacji.

Extension APIs:
  - Montoya API (current)
  - Languages: Java, Python (Jython),
    Kotlin

Łączenie automatyzacji z doświadczeniem

Ekspercki sposób pracy łączy oba podejścia: Scanner i rozszerzenia wyszukują oczywiste problemy, a Państwo poświęcają czas na błędy logiki i weryfikowanie wyników skanera.

Automatyzacja zwiększa zakres testów, a ludzka ocena pozwala znaleźć głębokie błędy.

Szybkie sprawdzenie

Sprawdź swoją wiedzę na temat Scanner i rozszerzeń.

Podsumowanie

Poznali Państwo sposoby automatyzacji za pomocą Scanner i rozszerzeń.

Scanner najpierw wykonuje crawl, a następnie audit; tryb pasywny jest bezpieczny, a aktywny wysyła payloady.
Problemy mają poziom ważności i ocenę wiarygodności; zawsze należy je weryfikować w Repeater.
Skanery nie wykrywają błędów logiki biznesowej.
BApp Store dodaje rozszerzenia, takie jak Autorize i Logger++.
Niestandardowe rozszerzenia można pisać za pomocą API Montoya.

W następnym kroku przeprowadzą Państwo pełny test aplikacji internetowej od początku do końca.

Często zadawane pytania

Czy lekcja „Scanner i rozszerzenia” jest bezpłatna?

Tak — pełny tekst „Scanner i rozszerzenia” jest dostępny za darmo tutaj w sieci. Aby ćwiczyć ją interaktywnie (wbudowany edytor kodu i tutor AI dostępny 24/7) i odblokować resztę kursu Cyber Security Academy, przejdź na CoddyKit PRO. Kurs Cyber Security Academy zawiera 4 lekcji w sumie.

Co nauczysz się w „Scanner i rozszerzenia”?

Automatyzuj testowanie Ćwiczysz Cyber Security Academy z praktycznym kodem, który uruchamiasz bezpośrednio w przeglądarce, a tutor AI dostępny 24/7 odpowiada na Twoje pytania podczas pracy nad lekcją.

Czy potrzebuję doświadczenia, aby zacząć Cyber Security Academy?

Nie wymagamy żadnego doświadczenia. Cyber Security Academy w CoddyKit jest strukturyzowany dla początkujących i zaawansowanych użytkowników, więc możesz zacząć tutaj lub od początku i uczyć się w swoim tempie. To lekcja 3 z 4.

Ile czasu zajmuje lekcja „Scanner i rozszerzenia”?

Większość lekcji CoddyKit trwa około 5–10 minut. Każda lekcja to mały, interaktywny krok, dzięki czemu robisz systematyczne postępy i zawsze wracasz dokładnie do tego samego miejsca — na webie i w aplikacji.

Czy mogę pisać i uruchamiać kod w tej lekcji Cyber Security Academy?

Tak. Każda lekcja Cyber Security Academy zawiera wbudowany edytor kodu, więc piszesz i uruchamiasz prawdziwy kod bezpośrednio w przeglądarce i od razu otrzymujesz sprzężenie zwrotne od AI — bez konfiguracji na komputerze.

Wszystkie lekcje w tym kursie

← Powrót do Cyber Security Academy