Burp Suite là gì?

Burp Suite là một bộ công cụ của PortSwigger được thiết kế để hỗ trợ việc kiểm tra thâm nhập của các ứng dụng web qua cả HTTP và HTTPS. Công cụ chính là một proxy được thiết kế để cho phép phân tích và chỉnh sửa lưu lượng truy cập web. Proxy có thể chặn các yêu cầu và phản hồi trên web, đồng thời đọc và chỉnh sửa chúng trong thời gian thực trước khi chúng đến đích tương ứng. Các phiên bản có sẵn cho Windows, MacOS và Linux, cùng với tệp JAR.

Bản thân proxy cho phép bạn định cấu hình miền nào bị chặn lưu lượng truy cập web và loại lưu lượng nào được hiển thị. Ví dụ: chặn các yêu cầu web rất hữu ích vì bạn có thể chỉnh sửa chúng để kiểm tra cách trang web phản ứng với các yêu cầu bất thường, tuy nhiên, việc chặn các phản hồi vì không có điểm thực sự trong việc chỉnh sửa chúng.

Nhiều công cụ có trong Burp Suite được thiết kế để tích hợp với proxy chính và có thể có các yêu cầu được nhập vào chúng. Intruder cho phép bạn nhập một yêu cầu và sau đó định cấu hình sắp xếp các trọng tải để thử và sau đó có thể chạy qua chúng một cách tự động. Bộ lặp cho phép bạn nhập một yêu cầu web và sau đó thực hiện các sửa đổi thủ công đối với nó và xem phản hồi song song với nhau, cho phép bạn thực hiện các điều chỉnh nhỏ đối với các nỗ lực khai thác và dễ dàng xem liệu nó có hoạt động hay không. Tính năng bảng điều khiển hiển thị danh sách các vấn đề đã xác định, mặc dù những vấn đề này cần được kiểm tra theo cách thủ công để phát hiện dương tính giả.

Mẹo: Trình theo dõi vấn đề là một tính năng cao cấp, trong khi các cuộc tấn công tự động bị giới hạn tỷ lệ trong phiên bản miễn phí.

Sequencer được thiết kế để phân tích tính ngẫu nhiên của dữ liệu như ID phiên, mã thông báo CSRF và mã thông báo đặt lại mật khẩu. Việc phân tích yêu cầu hơn 100 mẫu nhưng có thể xác định các điểm yếu trong cách tạo ra các giá trị được cho là ngẫu nhiên. Bộ giải mã cho phép bạn giải mã các chuỗi từ một loạt các tiêu chuẩn mã hóa cũng như cho phép bạn mã hóa lại dữ liệu. So sánh cho phép bạn so sánh hai chuỗi để kiểm tra sự khác biệt nhỏ.

Một loạt các tiện ích mở rộng do cộng đồng viết được cung cấp miễn phí ngay trong ứng dụng, mặc dù một số yêu cầu các tính năng giới hạn ở phiên bản trả phí của Burp Suite. Phiên bản miễn phí của Burp Suite hỗ trợ hầu hết các tính năng, giấy phép chuyên nghiệp để mở khóa tất cả các tính năng có giá 399 đô la một năm, trong khi “phiên bản doanh nghiệp” có giá 3999 đô la một năm, cộng với 399 đô la cho mỗi tác nhân quét chỉ có thể được thêm theo lô 10.