Proxy e interceptação

O Burp Suite é uma plataforma integrada para testar a segurança de aplicações Web. Ele fica entre o navegador e o servidor-alvo como um proxy de interceptação, permitindo inspecionar e modificar cada solicitação e resposta HTTP/HTTPS.

• Proxy — intercepta o tráfego
• Repeater — reenvia solicitações manualmente
• Intruder — automatiza a confusão de entradas
• Scanner — encontra vulnerabilidades (Pro)

O Proxy do Burp escuta em uma porta local (o padrão é 127.0.0.1:8080). Seu navegador é configurado para enviar todo o tráfego por ele, permitindo que o Burp pause as solicitações antes que elas cheguem ao servidor.

Essa posição de intermediário é o que torna possível testar aplicações Web: você vê exatamente o que a aplicação envia, incluindo parâmetros e cabeçalhos ocultos.

Configure o navegador para usar o serviço de escuta do Burp. O caminho mais fácil é usar uma extensão de navegador como a FoxyProxy ou o navegador Chromium integrado do próprio Burp (Proxy > Intercept > Open Browser), que já vem pré-configurado.

Para interceptar HTTPS, o Burp gera seus próprios certificados automaticamente. O navegador não confiará neles a menos que você instale o certificado CA do Burp.

Acesse http://burp enquanto o proxy estiver em execução, baixe cacert.der e importe-o para o repositório de confiança do navegador/OS.

Em Proxy > Intercept, o controle Intercept is on pausa cada solicitação para que você possa lê-la ou editá-la antes de encaminhá-la. Com a interceptação desativada, o tráfego flui livremente, mas ainda é registrado no histórico HTTP.

Use Forward para enviar a solicitação pausada ou Drop para descartá-la.

Uma solicitação interceptada mostra o método, o caminho, os cabeçalhos e o corpo. Você pode editar qualquer parte diretamente antes de encaminhá-la — alterar um parâmetro, adicionar um cabeçalho ou adulterar um cookie.

A aba Proxy > HTTP history registra todas as solicitações que passaram pelo Burp, mesmo com a interceptação desativada. Cada entrada registra a URL, o status, o tamanho e o tipo MIME. Essa é a linha do tempo de toda a sessão.

Clique com o botão direito em qualquer entrada para enviá-la ao Repeater, ao Intruder ou a outras ferramentas.

Aplicações reais geram ruído de ferramentas de análise, CDNs e terceiros. Defina um escopo do alvo em Target > Scope para que o Burp se concentre apenas nos hosts que você tem autorização para testar.

Ative os filtros "And URL Is in target scope" para manter o histórico organizado e evitar tocar em sistemas fora do escopo.

Em Proxy > Match and replace, você pode reescrever automaticamente partes de cada solicitação ou resposta — por exemplo, falsificar um User-Agent ou remover um cabeçalho de segurança para estudar o comportamento.

A validação no lado do cliente (JavaScript, campos ocultos e botões desativados) é facilmente contornada quando você pode editar solicitações em trânsito. A interceptação revela a diferença entre o que a interface permite e o que o servidor realmente impõe.

Sempre teste os controles no lado do servidor e nunca confie no cliente.

Interceptar tráfego é algo poderoso e invasivo. Execute o Burp somente contra sistemas que você possui ou para os quais tenha autorização por escrito para testar. Defina o escopo com precisão e respeite-o.

A interceptação não autorizada é ilegal na maioria das jurisdições.

Teste sua compreensão do proxy do Burp.

Você aprendeu como funciona o proxy de interceptação do Burp Suite:

• O Burp escuta em 127.0.0.1:8080, e o navegador encaminha o tráfego por ele
• A instalação do certificado CA permite a interceptação de HTTPS
• Intercept pausa as solicitações para edição; o histórico HTTP registra tudo
• O escopo mantém os testes concentrados e autorizados

A seguir, modificaremos e faremos testes de variações nas solicitações com o Repeater e o Intruder.