Burp Suite ist eines der meist genutzten Tools für Web Application Pentesting. Es hat aber auch seinen Platz beim Network Pentesting.

Was ist Burp Suite?

Im Kern ist Burp Suite ein Intercepting Proxy. Ein Proxy (engl. für Stellvertreter) ist ein Programm, welches ausgehende Verbindungen bündelt. Organisationen nutzen Proxy-Server, um alle ausgehenden Verbindungen zu bündeln und gewisse Regeln darauf anzuwenden, wie eine URL-Blacklist. Der Zweck von Burp Suite liegt darin alle Anfragen an Webseiten über Burp Suite zu leiten, sodass jede Anfrage und jede Antwort von Burp analysiert werden kann. Der Zusatz ‚Intercepting‘ meint, dass Burp Anfragen auch aufhalten kann. Das zeige ich später.

Neben diesen Funktionen bietet Burp inzwischen eine riesige Palette weiterer Funktionen und auch einen eigenen App Store, welcher Erweiterungen für Burp Suite enthält.

Wo kriege ich Burp Suite her?

Burp Suite ist in Kali Linux in der Community Edition enthalten. Burp Suite Professional kostet aktuell 400 $ pro Jahr und kann bei https://portswigger.net/ bezogen werden. Burp Suite Pro bietet einige Funktionalitäten mehr, wie die automatische Detektion von Schwachstellen bzw. Auffälligkeiten und ungebremstem Intruder (später mehr zum Intruder).

Wie wird Burp Suite eingerichtet?

Burp Suite ist zwar bereits installiert, aber die trotzdem muss noch etwas eingerichtet werden. Ein Proxy hat bei HTTPS Verbindungen das Problem, dass sein Zertifikat von allen Browsern akzeptiert sein muss. Große Organisationen können Ihren Proxy mit bestätigten Zertifikaten ausstatten, aber für die Nutzung auf einer Kali-VM, kann das Zertifikat manuell als vertrauenswürdig eingestuft werden.

Startet dafür Burp Suite Community Edition entweder über die Suche in Kali Linux oder in bash mit dem Befehl burpsuite. Wechselt nach dem Start in das Proxy-Tab und dort in Options. Hier gibt es den Button ‚Import/Export CA Certificate‘.

Burp Suite Export des CA Zertifikats

Eine CA ist eine Certificate Authority und das Zertifikat dieser CA muss Firefox als vertrauenswürdig beigebracht werden:D Dazu einfach die Einstellungen von Firefox öffnen und unter dem Reiter ‚Privacy & Security‘ den Button ‚View Certificates..‘ öffnen. In dem Fenster, welches sich öffnet unter ‚Authorities‘ das eben exportierte Zertifikat importieren.

Import des Burp Suite CA Zertifikats in Firefox

Schneller Wechsel über FoxyProxy

Damit ist für Firefox das Zertifikat von Burp Suite vertrauenswürdig. Jetzt muss Firefox nur noch mitgeteilt werden, dass zukünftig alle Verbindungen über Burp Suite laufen sollen. Da man allerdings Burp Suite nur zeitweise braucht und gar keine Verbindung funktionieren würde, solange Burp Suite nicht gestartet ist, empfiehlt sich ein Tool für den schnellen Wechsel zwischen den Proxy-Einstellungen: FoxyProxy. Ladet euch FoxyProxy aus dem Add-On-Store von Firefox herunter und legt eine Proxy-Einstellung wie folgt an:

FoxyProxy-Einstellungen für Burp Suite in der Standardkonfiguration

Wechselt man jetzt in FoxyProxy auf die Einstellung ‚Burp‘ werden alle Verbindungen von Firefox über Burp geleitet. Was man dann mit Burp Suite machen kann, erläutere ich in den folgenden Posts.


2 Kommentare

Überblick Bug-Bounty-Artikel – Maxanit Consulting · August 11, 2020 um 11:38 am

[…] Burp Suite […]

Überblick Pentesting – Maxanit Consulting · Oktober 17, 2020 um 9:40 pm

[…] Burp Suite: Intro […]

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.