Burp Suite คืออะไร?

Burp Suite เป็นชุดเครื่องมือจาก PortSwigger ที่ออกแบบมาเพื่อช่วยในการทดสอบการเจาะระบบของเว็บแอปพลิเคชันผ่านทั้ง HTTP และ HTTPS เครื่องมือหลักคือพร็อกซี่ที่ออกแบบมาเพื่อให้สามารถวิเคราะห์และแก้ไขการเข้าชมเว็บได้ พร็อกซี่สามารถสกัดกั้นคำขอและการตอบสนองของเว็บ รวมถึงอ่านและแก้ไขแบบเรียลไทม์ก่อนจะถึงจุดหมายปลายทาง มีเวอร์ชันสำหรับ Windows, MacOS และ Linux พร้อมกับไฟล์ JAR

พร็อกซี่เองช่วยให้คุณกำหนดค่าโดเมนที่มีการสกัดกั้นการเข้าชมเว็บและประเภทของการรับส่งข้อมูลที่แสดง ตัวอย่างเช่น การสกัดกั้นคำขอทางเว็บมีประโยชน์เนื่องจากคุณสามารถแก้ไขได้เพื่อทดสอบว่าเว็บไซต์ตอบสนองต่อคำขอที่ผิดปกติอย่างไร อย่างไรก็ตาม การสกัดกั้นการตอบกลับเนื่องจากไม่มีจุดสำคัญจริงในการแก้ไข

เครื่องมือหลายอย่างที่รวมอยู่ใน Burp Suite ได้รับการออกแบบมาเพื่อผสานรวมกับพร็อกซีหลักและสามารถนำเข้าคำขอได้ Intruder อนุญาตให้คุณนำเข้าคำขอและกำหนดค่าการจัดเรียงของ payloads เพื่อพยายามและเรียกใช้ผ่านได้โดยอัตโนมัติ Repeater อนุญาตให้คุณนำเข้าคำขอของเว็บ จากนั้นทำการแก้ไขด้วยตนเอง และดูการตอบสนองแบบเคียงข้างกัน ช่วยให้คุณทำการปรับเปลี่ยนเล็กน้อยเพื่อพยายามหาช่องโหว่และดูว่าทำงานได้หรือไม่ คุณลักษณะแดชบอร์ดแสดงรายการปัญหาที่ระบุ แม้ว่าจะต้องตรวจสอบด้วยตนเองเพื่อหาผลบวกที่ผิดพลาด

เคล็ดลับ: ตัวติดตามปัญหาเป็นคุณสมบัติระดับพรีเมียม ในขณะที่การโจมตีอัตโนมัติถูกจำกัดอัตราในเวอร์ชันฟรี

Sequencer ออกแบบมาเพื่อวิเคราะห์ความสุ่มของข้อมูล เช่น รหัสเซสชัน โทเค็น CSRF และโทเค็นการรีเซ็ตรหัสผ่าน การวิเคราะห์ต้องการตัวอย่างมากกว่า 100 ตัวอย่าง แต่สามารถระบุจุดอ่อนในการสร้างค่าสุ่มที่คาดคะเนได้ ตัวถอดรหัสช่วยให้คุณสามารถถอดรหัสสตริงจากมาตรฐานการเข้ารหัสต่างๆ รวมทั้งให้คุณเข้ารหัสข้อมูลได้อีกครั้ง Comparer ช่วยให้คุณเปรียบเทียบสองสตริงเพื่อตรวจสอบความแตกต่างเล็กน้อย

ส่วนขยายต่างๆ ที่เขียนโดยชุมชนมีให้ใช้งานฟรีจากภายในแอป แม้ว่าบางส่วนจะต้องการคุณลักษณะที่จำกัดเฉพาะ Burp Suite เวอร์ชันที่ต้องชำระเงินเท่านั้น Burp Suite เวอร์ชันฟรีรองรับฟีเจอร์ส่วนใหญ่ ใบอนุญาตระดับมืออาชีพเพื่อปลดล็อกฟีเจอร์ทั้งหมดราคา 399 ดอลลาร์ต่อปี ในขณะที่ "รุ่นสำหรับองค์กร" มีราคา 3,999 ดอลลาร์ต่อปี บวกกับ 399 ดอลลาร์ต่อตัวแทนการสแกน ซึ่งสามารถเพิ่มได้ในชุดละ 10 เท่านั้น