Primárnym zameraním Burp Suite je pôsobiť ako webový proxy server na účely analýzy a úpravy návštevnosti webu, vo všeobecnosti ako súčasť penetračného testu. Aj keď je to dosť jednoduché pre prenos HTTP s obyčajným textom, vyžaduje si dodatočné nastavenie, aby bolo možné zachytiť prenos HTTPS bez neustálych chýb certifikátu.
Tip; Penetračné testovanie je proces testovania kybernetickej bezpečnosti webových stránok, zariadení a infraštruktúry pokusom o ich hacknutie.
Na zachytenie prenosu HTTPS si Burp vytvorí na vašom zariadení vlastnú certifikačnú autoritu. Tento certifikát musíte importovať do dôveryhodného úložiska vášho prehliadača, aby váš prehliadač negeneroval chyby certifikátu.
Tip: Použitie Burp Suite ako proxy v podstate znamená, že na seba zaútočíte MitM alebo Man in the Middle. Mali by ste si uvedomiť, že Burp nahradí všetky HTTPS certifikáty svojimi vlastnými. Vďaka tomu je oveľa ťažšie všimnúť si skutočne škodlivé útoky MitM, pretože neuvidíte žiadne chyby certifikátu – uvedomte si to, ak si nainštalujete a používate Burp Suite!
Prvým krokom k inštalácii certifikačnej autority Burp je jej stiahnutie. Ak to chcete urobiť, spustite Burp a potom prejdite na port načúvania proxy, ktorý má predvolenú hodnotu „127.0.0.1:8080“. Keď ste na stránke, kliknite na „Certifikát CA“ v pravom hornom rohu a stiahnite si certifikát „cacert.der“.
Tip: Pravdepodobne budete upozornení, že typ súboru nie je bezpečný a môže poškodiť váš počítač, budete musieť varovanie prijať.
Ak chcete certifikát nainštalovať do systému Windows, dvakrát kliknite na stiahnutý súbor „cacert.der“, čím ho spustíte a akceptujete bezpečnostné varovanie. V okne prehliadača certifikátov kliknite na „Inštalovať certifikát“.
Vyberte, či chcete, aby bol certifikát dôveryhodný pre vášho používateľa alebo pre iné použitie s „Aktuálnym používateľom“ a „Miestnym počítačom“. Budete musieť manuálne nastaviť certifikát tak, aby bol umiestnený v špecifickom sklade certifikátov, “Dôveryhodné koreňové certifikačné autority”. Po dokončení kliknite na „Dokončiť“ a importujte certifikát.
Tip: Aby sa zmena prejavila, budete musieť reštartovať prehliadače. Malo by to mať vplyv na všetky prehliadače vo vašom počítači, dokonca aj na Firefox. Ak však používajú svoj vlastný dôveryhodný obchod, možno budete musieť pridať certifikát do konkrétnych prehliadačov.
Ak chcete zachytiť sieťovú prevádzku z iného zariadenia, bude musieť importovať váš špecifický certifikát Burp, a nie ten, ktorý si sám vygeneruje. Každá inštalácia, s výnimkou aktualizácií, generuje nový certifikát. Tento dizajn výrazne sťažuje zneužitie Burpa na masové monitorovanie internetu.