Jet School Logo
Kateqoriya: Kibertəhlükəsizlik

Burp Suite nədir?

Burp Suite — Britaniya şirkəti PortSwigger tərəfindən hazırlanmış, veb tətbiqlərin təhlükəsizlik testi (web application security testing) üçün hərtərəfli alətlər dəstidir. Alət 2003–2006-cı illərdə Dafydd Stuttard tərəfindən öz təhlükəsizlik testi ehtiyaclarını avtomatlaşdırmaq üçün yaradılıb və o vaxtdan sənaye standartına çevrilib.

Alətin üç versiyası mövcuddur:

  • Community — pulsuz, əsas funksiyalarla;
  • Professional — ödənişli, tam funksional zəiflik skaneri ilə. Əksər pentesterlər (Penetration Testing mütəxəssisləri) və bug bounty ovçuları məhz bu versiyadan istifadə edir;
  • Enterprise Edition — şirkətlər üçün fasiləsiz, avtomatik skanlama.

Burp Suite haqlı olaraq veb tətbiqlərin təhlükəsizlik testi üzrə hər bir mütəxəssisin əsas aləti hesab olunur.

Burp Suite necə işləyir?

  • Proksi (Burp Proxy): Alətin əsasını brauzer ilə veb server arasında yerləşən HTTP/HTTPS proksi təşkil edir. O, onlar arasında keçən bütün trafiki tutur və hər sorğu ilə cavabı serverə çatmazdan əvvəl görməyə və dəyişdirməyə imkan verir. Mahiyyətcə Burp Man-in-the-Middle prinsipi ilə işləyir — fərq ondadır ki, burada bunu sistemin sahibinin icazəsi ilə, təhlükəsizlik testi məqsədilə edirsiniz.
  • Intercept (Tutma): HTTP sorğusunu göndərilməzdən əvvəl real vaxtda dayandırmağa və onun məzmununu — parametrləri, başlıqları, cookie-ləri — əl ilə dəyişərək tətbiqin reaksiyasını yoxlamağa imkan verir.
  • Repeater: Eyni sorğunu əl ilə dəyişikliklərlə dəfələrlə göndərmək üçün alətdir. Konkret bir zəifliyi nöqtəvi yoxlamaq üçün əvəzolunmazdır.
  • Intruder: Dəyişdirilmiş sorğuları kütləvi şəkildə göndərərək avtomatik hücumları həyata keçirir: brute force ilə parol sınaqları, parametrlərin fuzzing-i, ID-lərin sadalanması.
  • Scanner (Professional versiyada): Tətbiqi avtomatik skan edir və OWASP Top 10 siyahısına daxil olan bir çox zəiflik daxil olmaqla 100-dən çox zəiflik növünü aşkarlayır.

Miflər və reallıq

Mif: Burp Suite tamamilə pulsuz alətdir.

Reallıq: Yalnız məhdud funksiyalı Community versiyası pulsuzdur. Tam funksional avtomatik skaner yalnız ödənişli Professional versiyasında mövcuddur.

Mif: Burp Suite insan iştirakı olmadan istənilən tətbiqi avtomatik “sındırır”.

Reallıq: Skaner potensial zəiflikləri tapır, lakin onların təsdiqlənməsi və düzgün qiymətləndirilməsi demək olar ki, həmişə mütəxəssisin əl ilə təhlilini tələb edir.

Mif: Burp Suite-dən istifadə istənilən vəziyyətdə qanunidir.

Reallıq: Sahibinin yazılı icazəsi olmadan başqasının tətbiqini test etmək, hansı alətdən istifadə olunmasından asılı olmayaraq, qanunsuzdur.

Təhlükəsiz və qanuni necə istifadə etməli?

  • Yalnız yazılı icazəniz olan tətbiqləri test edin: bug bounty proqramları, öz laboratoriyalarınız, test mühitləri.
  • Öyrənmək üçün qəsdən zəif hazırlanmış tətbiq və sistemlərdən istifadə edin: DVWA, testfire.net, Metasploitable.
  • Brauzeri Burp proksisi üzərindən işləməyə yalnız test zamanı keçirin. Proksi standart olaraq lokal IP ünvanında (127.0.0.1) və 8080 portunda işləyir. İş bitdikdən sonra bu tənzimləməni deaktiv edin.
  • Intruder-i açıq icazə olmadan heç vaxt real (production) sistemlərə qarşı istifadə etməyin — kütləvi sorğular xidmətin dayanmasına (DoS/DDoS effekti) səbəb ola bilər.

Faydalı linklər

Tədris sahələrimiz barədə məlumat almaq üçün qeydiyyatdan keçin

IT Sahəsini öyrənməyə başla