Vekil Sunucu ve Araya Girme

Burp Suite, web uygulamalarının güvenliğini test etmeye yönelik tümleşik bir platformdur. Tarayıcınız ile hedef sunucu arasında araya giren vekil sunucu olarak konumlanır ve her HTTP/HTTPS isteğini ve yanıtını inceleyip değiştirmenizi sağlar.

• Vekil sunucu — trafiği araya alır
• Tekrarlayıcı — istekleri elle yeniden oynatır
• Saldırgan — bulanıklaştırmayı otomatikleştirir
• Scanner — güvenlik açıklarını bulur (Pro)

Burp'ın vekil sunucusu yerel bir bağlantı noktasını (varsayılan olarak 127.0.0.1:8080) dinler. Tarayıcınız tüm trafiği bunun üzerinden gönderecek şekilde yapılandırılır; böylece Burp, istekleri sunucuya ulaşmadan önce duraklatabilir.

Ortadaki adam konumu, web testlerini mümkün kılan unsurdur: uygulamanın gönderdiği her şeyi, gizli parametreler ve üstbilgiler de dahil olmak üzere tam olarak görürsünüz.

Tarayıcıyı Burp'ın dinleyicisine yönlendirin. En kolay yol, FoxyProxy gibi bir tarayıcı uzantısı veya önceden yapılandırılmış Burp'ın yerleşik Chromium tarayıcısıdır (Proxy > Intercept > Open Browser).

HTTPS trafiğini araya almak için Burp, anında kendi sertifikalarını oluşturur. Burp'ın CA sertifikasını yüklemediğiniz sürece tarayıcı bunlara güvenmez.

Vekil sunucu çalışırken http://burp adresini ziyaret edin, cacert.der dosyasını indirin ve tarayıcının/OS güven deposuna aktarın.

Proxy > Intercept bölümündeki Intercept is on anahtarı, her isteği iletmeden önce okuyabilmeniz veya düzenleyebilmeniz için duraklatır. Araya alma kapalı olduğunda trafik serbestçe akar ancak HTTP geçmişine kaydedilmeye devam eder.

Duraklatılan isteği göndermek için Forward, silmek için Drop seçeneğini kullanın.

Araya alınan bir istek, yöntemi, yolu, üstbilgileri ve gövdeyi gösterir. İletmeden önce herhangi bir bölümü satır içinde düzenleyebilirsiniz — bir parametreyi değiştirebilir, üstbilgi ekleyebilir veya çerezle oynayabilirsiniz.

Proxy > HTTP history sekmesi, araya alma kapalı olsa bile Burp üzerinden geçen her isteği günlüğe kaydeder. Her girişte URL, durum, uzunluk ve MIME türü yer alır. Bu, oturumun tamamının zaman çizelgesidir.

Herhangi bir girişi sağ tıklayarak Tekrarlayıcı'ya, Saldırgan'a veya diğer araçlara gönderin.

Gerçek uygulamalar analiz hizmetleri, CDN'ler ve üçüncü taraflar nedeniyle gürültü oluşturur. Burp'ın yalnızca test etme yetkiniz olan ana makinelere odaklanması için Target > Scope altında bir hedef kapsamı tanımlayın.

Geçmişi temiz tutmak ve kapsam dışı sistemlere dokunmaktan kaçınmak için "And URL Is in target scope" filtrelerini etkinleştirin.

Proxy > Match and replace altında her isteğin veya yanıtın bölümlerini otomatik olarak yeniden yazabilirsiniz — örneğin davranışı incelemek için bir User-Agent taklidi yapabilir veya güvenlik üstbilgisini kaldırabilirsiniz.

İstemci tarafı doğrulama (JavaScript, gizli alanlar, devre dışı düğmeler), aktarım sırasında istekleri düzenleyebildiğinizde kolayca aşılır. Araya alma, kullanıcı arayüzünün izin verdiği şey ile sunucunun gerçekte uyguladığı kurallar arasındaki farkı ortaya çıkarır.

Sunucu tarafındaki denetimleri her zaman test edin; istemciye asla güvenmeyin.

Trafiği araya almak güçlü ve müdahaleci bir işlemdir. Burp'ı yalnızca sahibi olduğunuz veya test etmek için yazılı yetki aldığınız sistemlerde çalıştırın. Kapsamı kesin biçimde tanımlayın ve buna uyun.

Yetkisiz araya alma, çoğu yargı bölgesinde yasa dışıdır.

Burp'ın vekil sunucusu hakkındaki anlayışınızı test edin.

Burp Suite'in araya giren vekil sunucusunun nasıl çalıştığını öğrendiniz:

• Burp, 127.0.0.1:8080 üzerinde dinler ve tarayıcı trafiği onun üzerinden yönlendirir
• CA sertifikasının yüklenmesi HTTPS trafiğinin araya alınmasını sağlar
• Intercept istekleri düzenlemek üzere duraklatır; HTTP history her şeyi günlüğe kaydeder
• Scope, testleri odaklı ve yetkilendirilmiş tutar

Sırada Repeater ve Intruder ile istekleri değiştirme ve bulanıklaştırma var.