เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส
Burp Suite: ผู้เชี่ยวชาญด้าน Web Proxy อาศัยอยู่
Burp Suite เป็นเวิร์กเบนช์แบบแทรกกลางสำหรับการทดสอบเว็บ: พร็อกซีสกัดกั้นที่เปลี่ยนทุกคำขอเซสชันเบราว์เซอร์ให้เป็นออบเจ็กต์ที่แก้ไข เล่นซ้ำได้ และอัตโนมัติ ตรรกะส่วนประกอบของมันคือสิ่งที่แยก Burp ออกจากเครื่องสแกนด้วยปุ่มเดียว — พร็อกซีสำหรับการสังเกต, รีพีตเตอร์สำหรับคำขอที่รอบคอบ, Intruder สำหรับการคลุมเครือแบบมีโครงสร้าง และระบบนิเวศของแอป (ส่วนขยาย) สำหรับทุกสิ่งที่เฉพาะเจาะจงกับเป้าหมาย Community และ Pro แยกกันตรงกลาง: รุ่นฟรีครอบคลุมการทดสอบด้วยตนเองอย่างสมบูรณ์ ในขณะที่เครื่องสแกนอัตโนมัติเฉพาะ Pro และผู้บุกรุกที่ไม่จำกัดคือสิ่งที่การซื้อการมีส่วนร่วมแบบชำระเงินจริง
ประเด็นสำคัญ
- การทำงานด้วยตนเองแบบเรียลไทม์คือหัวใจ: สกัดกั้นการเข้าสู่ระบบ แก้ไขพารามิเตอร์บทบาท และเล่นซ้ำใน Repeater: ที่นั่น การค้นพบส่วนใหญ่ในการมีส่วนร่วมจริงมาจากคำขอที่สร้างขึ้นด้วยมือ ไม่ใช่เครื่องสแกน
- Repeater เป็นเครื่องมือเริ่มต้นระดับมืออาชีพ: วาง แก้ไข ส่งซ้ำ ดู ไม่มีการต่อสู้กับสถานะพร็อกซี ไม่มีการจำกัดอัตรา เพียงเชลล์ HTTP ที่แก้ไขได้
- ผู้บุกรุกมีขอบเขตคลุมเครือ: จุดแทรกพารามิเตอร์ รายการเพย์โหลด และความแตกต่างของการตอบสนอง รุ่นชุมชนควบคุมปริมาณ รุ่น Pro ทำการสแกนตามความเร็วของแอปพลิเคชัน
- Community vs Pro พูดตามตรง: ชุมชนมอบคู่มือทุกอย่างให้ฟรีและไม่มีวันหมดอายุ Pro เพิ่มเครื่องสแกนอัตโนมัติ Intruder ที่เร็วขึ้น และเครื่องมือที่คุ้มค่ากับใบอนุญาตรายปีสำหรับงานของลูกค้า — ราคานี้เป็นราคาเชิงคุณภาพและรุ่นฟรีคือสภาพแวดล้อมการเรียนรู้ที่สมบูรณ์
- พลังส่วนขยาย: Logger++, Autorize, JWT Decoder และส่วนที่เหลือของ BApp Store เปลี่ยน Burp ให้เป็นโต๊ะทำงานแบบต่อการมีส่วนร่วม แทนที่จะเป็นผลิตภัณฑ์คงที่เพียงตัวเดียว
- ระเบียบวินัยของแผนผังเว็บไซต์และขอบเขตเป้าหมาย: กำหนดขอบเขตก่อนที่คุณจะคลิก (กฎขอบเขตเป้าหมาย) ดังนั้นพร็อกซีจะบันทึกทุกสิ่งที่คุณทดสอบโดยไม่มีโดเมนโดยไม่ตั้งใจเพียงโดเมนเดียวนอกสัญญา
- การตั้งค่าใบรับรองเป็นขั้นตอนแรกที่แท้จริง: ติดตั้งใบรับรอง CA ของ Burp ลงในเบราว์เซอร์หรือ OS ที่ไว้วางใจได้ และเรียนรู้ว่าการตั้งค่าพร็อกซีใดบ้างที่เปลี่ยนแปลงต่อเครื่องมือ (เบราว์เซอร์เทียบกับ CLI เทียบกับมือถือ)
- ความดังเป็นทางเลือก: การสแกนแบบพาสซีฟเกิดขึ้นเพียงแค่การเรียกดู การสแกนแบบแอ็คทีฟอาจทำให้ฟอร์มท่วมท้นและทำให้แบ็กเอนด์ที่อ่อนแอเสียหายได้ ดังนั้นจึงปรับขนาดความเข้มงวดของสแกนเนอร์ให้สอดคล้องกับค่าเผื่อการเขียนของการมีส่วนร่วม
บันทึกจากหน้างาน
แทบจะไม่มีการส่งมอบการมีส่วนร่วมใดที่เราสร้างขึ้นได้หากปราศจากคำขอ Repeater ในโฟลเดอร์หลักฐาน — การค้นพบนี้ได้รับการยืนยันด้วยมือในคำขอเดียว และสังเกตได้ในแท็บ Burp ที่เปิดอยู่ Extender เช่น Autorize ชำระค่าติดตั้งเพียงครั้งเดียวและไม่เคยออกไปเลย
คำถามที่พบบ่อย
Community รุ่นฟรีใช้งานได้อย่างมืออาชีพหรือไม่
สำหรับงานแบบแมนนวล ใช่เลย; ในที่สุดการใช้งานระดับมืออาชีพก็ต้องการสแกนเนอร์ของ Pro และการจำกัดความเร็ว แต่ชุมชนครอบคลุมการเรียนรู้และการทดสอบจริงจำนวนหนึ่งที่น่าประหลาดใจ
เรอกับ OWASP ZAP?
องค์ประกอบและระบบนิเวศส่วนขยายของ Burp คือสิ่งที่ที่ปรึกษาครอบครอง ZAP มีความสามารถและฟรีอย่างแท้จริง และทีมจะเลือกตามความลึกของเวิร์กโฟลว์มากกว่าการตลาด
สามารถทดสอบ API และแอปมือถือได้หรือไม่
ใช่: ชี้ไคลเอ็นต์ HTTP ใด ๆ ไปที่พร็อกซีแล้ว Burp ก็มองเห็น การตั้งค่ามือถือหมายถึงการกำหนดเส้นทางการรับส่งข้อมูลของโทรศัพท์ผ่าน Burp และเชื่อถือ CA ของมัน
อะไรอยู่นอกขอบเขตของการทดสอบอย่างซื่อสัตย์?
ไม่ว่าสัญญาจะไม่รวมอะไรก็ตาม: การทดสอบขนาดการผลิต การบูรณาการโดยบุคคลที่สาม และการจัดการข้อมูลใดๆ นอกเหนือจากที่แผนการมีส่วนร่วมอนุญาต
Kinetikatech ช่วยเรื่อง เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส ได้อย่างไร
นี่คือสิ่งที่เราทำทุกวัน: ผู้เชี่ยวชาญด้านกล่องเครื่องมือทดสอบมักโหลดอยู่เสมอ: เครื่องสแกน เครื่องดมกลิ่น แครกเกอร์ และเว็บพรอกซี อธิบายวิธีการใช้งานเครื่องมือเหล่านี้ในภารกิจจริง เช่น คำสั่ง แฟล็ก เอาท์พุต และตำแหน่งที่แต่ละเครื่องมืออยู่ในระเบียบวิธี บริการ การทดสอบการเจาะระบบและความปลอดภัยเซิร์ฟเวอร์ Linux ของเราดูแลครบวงจร ตั้งแต่ประเมิน ลงมือทำ ติดตาม 24 ชั่วโมง ไปจนถึงรับเรื่องฉุกเฉินภายใน 30 นาที