Burp Suite - demandosigno

Webアプリケーション用のセキュリティテストツール。Community Edition は無料。Kali にも実装されている。

BurpSuite の起動

root@kali:~# burpsuite
9月 11, 2019 9:40:46 午後 java.util.prefs.FileSystemPreferences$1 run
INFO: Created user preferences directory.
Your JRE appears to be version 11.0.4 from Debian
Burp has not been fully tested on this platform and you may experience problems.

f:id:hirose-test:20190911214611j:plain
f:id:hirose-test:20190911215346j:plain

起動直後に上記の通り警告が出た。
"Your JRE appears to be version 12.0.1 from Oracle Corporation. Burp has not been fully tested on this platform and you may experience problems."

JREのバージョンが新しすぎてまだ Burp Suite 側で検証できていない。

JRE Warning | Burp Suite Support Center

サポートセンターの回答では「プラットフォームインストーラー版（Windowsとか）を勧める。そちらには適切なバージョンのJREがバンドルされている」とのことです。

ただ、今回は Kali に搭載されているものを使いました。

規約を読んで同意する。
f:id:hirose-test:20190911215401j:plain

とりあえず、デフォルト設定で「Next」

f:id:hirose-test:20190911215538j:plain

f:id:hirose-test:20190911215636j:plain

[Proxy] → [Options] と選択。Interface がローカルホストの 8080になっていることを確認。
f:id:hirose-test:20190911220128j:plain

[Proxy] → [Intercept] と選択。[Intercept is on] をクリックし [Intercept is off] に変更する。

f:id:hirose-test:20190911220357j:plain

Firefox の設定

ブラウザーを立ち上げる
[Open menu] アイコンから [Preferences] を開く。
f:id:hirose-test:20190911221348j:plain

[Network Proxy] の項目を探し [Settings...] を開く。
f:id:hirose-test:20190911221443j:plain

[Configure Proxy] において [Manual proxy configuration] を選択する。

[HTTP Proxy]欄に "127.0.0.1" [Port] "8080" とする。
[Use this proxy server for all protocols] にチェックを入れる。
[No proxy for] の欄に記載された "localhost, 127.0.0.1" を消す。
[OK] をクリックして閉じる。

f:id:hirose-test:20190911222441j:plain

[Preferences] も閉じる。

ブラウザで Metasploitable2 にアクセスする。DVWAを選択する。

f:id:hirose-test:20190911000758j:plain

（ブラウザの設定で Proxy (Burp Suite) 経由で閲覧すると設定したので、今後は Burp Suite を立ち上げていないとネットには繋がらない。）
f:id:hirose-test:20190914030908j:plain
f:id:hirose-test:20190914031312j:plain

Burp Suite での通信のキャプチャと改変

Burp Suite に戻り [Target] タブを見ると、ブラウザとサーバーの通信の内容が記録されている。

f:id:hirose-test:20190911223737j:plain

[Proxy] → [Intercept] に移り [Intercept off] から [Intercept on] に変更する。

もう一度 DVWA に戻り、ログインボタンをクリックする（User : admin, Pass : password）
この時点ではまだダッシュボードには移行しない。
f:id:hirose-test:20190911001121j:plain

そのまま Burp Suite の画面に移ると、ログイン画面に入力したユーザー名とパスワードがキャプチャされている。

f:id:hirose-test:20190911223757j:plain

ここで、BurpSuite 上で "admin" を "smithy" と書き換え [Intercept off] にすると、DVWA 側でユーザー "smithy" でログインされる。
（smithy は DVWA に登録されているユーザーの一つ。Metasploitable2 のDBで確認できる。# mysql -u root -p : パスワードなしでログインできる）

f:id:hirose-test:20190911230226j:plain