Burp Suiteとは何ですか？

Burp Suiteは、HTTPとHTTPSの両方を介したWebアプリケーションの侵入テストを支援するように設計されたPortSwiggerのツールスイートです。主要なツールは、Webトラフィックの分析と編集を可能にするように設計されたプロキシです。プロキシは、Web要求と応答を傍受し、それぞれの宛先に到達する前にリアルタイムでそれらを読み取って編集できます。Windows、MacOS、およびLinuxのバージョンは、JARファイルとともに利用できます。

プロキシ自体を使用すると、Webトラフィックを傍受するドメインと、表示するトラフィックの種類を構成できます。たとえば、Webリクエストを傍受すると、Webサイトが異常なリクエストにどのように反応するかをテストするために編集できますが、編集する意味がないため、応答を傍受すると便利です。

Burp Suiteに含まれるツールの多くは、メインプロキシと統合するように設計されており、リクエストをインポートすることができます。Intruderを使用すると、リクエストをインポートしてから、ペイロードの配置を構成して試行し、それらを自動的に実行できます。Repeaterを使用すると、Webリクエストをインポートして手動で変更し、応答を並べて確認できるため、悪用の試みを微調整して、機能しているかどうかを簡単に確認できます。ダッシュボード機能には、特定された問題のリストが表示されますが、誤検知がないか手動で確認する必要があります。

ヒント：問題追跡システムはプレミアム機能ですが、無料バージョンでは自動攻撃のレートが制限されています。

シーケンサーは、セッションID、CSRFトークン、パスワードリセットトークンなどのデータのランダム性を分析するように設計されています。分析には100を超えるサンプルが必要ですが、ランダムな値が生成される方法の弱点を特定できます。デコーダーを使用すると、さまざまなエンコード標準から文字列をデコードできるだけでなく、データを再度エンコードすることもできます。Comparerを使用すると、2つの文字列を比較して、小さな違いを確認できます。

コミュニティで作成されたさまざまな拡張機能をアプリ内から無料で利用できますが、有料バージョンのBurpSuiteに限定された機能が必要なものもあります。Burp Suiteの無料バージョンはほとんどの機能をサポートし、すべての機能のロックを解除するプロフェッショナルライセンスは年間399ドル、「エンタープライズエディション」は年間3999ドル、スキャンエージェントあたり399ドルで、10個のバッチでのみ追加できます。