Burp Suite คืออะไร?

Burp Suite เป็นชุดเครื่องมือจาก PortSwigger ที่ออกแบบมาเพื่อช่วยในการทดสอบการเจาะระบบของเว็บแอปพลิเคชันผ่านทั้ง HTTP และ HTTPS เครื่องมือหลักคือพร็อกซี่ที่ออกแบบมาเพื่อให้สามารถวิเคราะห์และแก้ไขการเข้าชมเว็บได้ พร็อกซี่สามารถสกัดกั้นคำขอและการตอบสนองของเว็บ รวมถึงอ่านและแก้ไขแบบเรียลไทม์ก่อนจะถึงจุดหมายปลายทาง เวอร์ชันต่างๆ พร้อมใช้งานสำหรับ Windows, MacOS และ Linux พร้อมกับไฟล์ JAR

พร็อกซี่เองทำให้คุณสามารถกำหนดค่าโดเมนที่มีการสกัดกั้นการเข้าชมเว็บและประเภทของการรับส่งข้อมูลที่จะแสดง ตัวอย่างเช่น การสกัดกั้นคำขอทางเว็บมีประโยชน์เนื่องจากคุณสามารถแก้ไขได้เพื่อทดสอบว่าเว็บไซต์ตอบสนองต่อคำขอที่ผิดปกติอย่างไร อย่างไรก็ตาม การสกัดกั้นการตอบกลับเนื่องจากไม่มีจุดสำคัญในการแก้ไข

เครื่องมือหลายอย่างที่รวมอยู่ใน Burp Suite ได้รับการออกแบบมาเพื่อผสานรวมกับพร็อกซีหลักและสามารถนำเข้าคำขอได้ Intruder อนุญาตให้คุณนำเข้าคำขอและกำหนดค่าการจัดเรียงของ payloads เพื่อพยายามและเรียกใช้ผ่านสิ่งเหล่านี้ได้โดยอัตโนมัติ Repeater อนุญาตให้คุณนำเข้าคำขอเว็บจากนั้นทำการแก้ไขด้วยตนเองและดู การตอบสนองเคียงข้างกันทำให้คุณสามารถปรับเปลี่ยนเล็กน้อยเพื่อพยายามหาช่องโหว่และดูว่าใช่หรือไม่ ทำงาน. คุณลักษณะแดชบอร์ดแสดงรายการปัญหาที่ระบุ แม้ว่าจะต้องตรวจสอบด้วยตนเองเพื่อหาผลบวกที่ผิดพลาด

เคล็ดลับ: ตัวติดตามปัญหาเป็นคุณสมบัติระดับพรีเมียม ในขณะที่การโจมตีอัตโนมัติถูกจำกัดอัตราในเวอร์ชันฟรี

Sequencer ออกแบบมาเพื่อวิเคราะห์ความสุ่มของข้อมูล เช่น รหัสเซสชัน โทเค็น CSRF และโทเค็นการรีเซ็ตรหัสผ่าน การวิเคราะห์ต้องการตัวอย่างมากกว่า 100 ตัวอย่าง แต่สามารถระบุจุดอ่อนในการสร้างค่าสุ่มที่คาดคะเนได้ ตัวถอดรหัสช่วยให้คุณสามารถถอดรหัสสตริงจากมาตรฐานการเข้ารหัสต่างๆ รวมทั้งให้คุณเข้ารหัสข้อมูลได้อีกครั้ง Comparer ช่วยให้คุณเปรียบเทียบสองสตริงเพื่อตรวจสอบความแตกต่างเล็กน้อย

ส่วนขยายต่างๆ ที่เขียนโดยชุมชนมีให้ใช้งานฟรีจากภายในแอป แม้ว่าบางส่วนจะต้องการคุณลักษณะที่จำกัดเฉพาะ Burp Suite เวอร์ชันที่ต้องชำระเงินเท่านั้น Burp Suite เวอร์ชันฟรีรองรับฟีเจอร์ส่วนใหญ่ ใบอนุญาตแบบมืออาชีพเพื่อปลดล็อกฟีเจอร์ทั้งหมดราคา $399 ต่อปี ปี ในขณะที่ "รุ่นองค์กร" มีราคา 3,999 เหรียญต่อปี บวก 399 เหรียญต่อตัวแทนการสแกน ซึ่งสามารถเพิ่มได้เฉพาะในกลุ่ม 10.