Sử dụng Burpsuite trong đánh giá bảo mật ứng dụng web (phần 1)

https://drive.google.com/open?id=0B5RHHIY8-fgGUkxhb05jRXNDVjg Giới thiệu phần mềm Burp Suite Burpsuite là một ứng dụng được tích hợp nhiều t...


Giới thiệu phần mềm Burp Suite

Burpsuite là một ứng dụng được tích hợp nhiều tính năng phục vụ kiểm tra bảo mật ứng dụng web. Các tính năng này sẽ phục vụ kiểm tra bảo mật các thành phần khác nhau trong ứng dụng web hiện đại ngày nay. Burpsuite có thể giúp người dùng đánh giá các tiêu chí bảo mật web như: Kiểm tra cơ chế xác thực, kiểm tra các vấn đề về phiên người dùng hoặc liệt kê và đánh giá các tham số đầu vào của ứng dụng web v.v… Chương trình không những hỗ trợ mạnh mẽ trong quy trình đánh giá bảo mật thủ công mà còn bao gồm công cụ quét lỗ hỗng bảo mật được tích hợp trong phiên bản có phí.
Burp được phát triển bởi Công ty PortSwigger Ltd và được phân phối thành hai phiên bản:
  • Burp Free
  • Burp Professional
Mặc dù trong phiên bản thương mại được tích hợp chức năng quét lỗ hổng ứng dụng tự động và một số tính năng nâng cao, tuy nhiên với sự kết hợp thành thạo các tính năng trong phiên bản miễn phí sẽ giúp người dùng tận dụng tối đa hiệu quả trong đánh giá bảo mật ứng dụng mà không cần đầu tư chi phí cho công cụ.
brupsuite_compare
Bảng so sánh tính năng trong các phiên bản

Hướng dẫn cấu hình cơ bản

Yêu cầu

Burp yêu cầu tài nguyên phần cứng tối thiểu như sau:
  • HDD trống 100MB, được dùng lưu trữ các tập tin tạm trong quá trình xử lý.
  • Bộ nhớ RAM 2GB
  • Hệ điều hành: Burp hỗ trợ trên các hệ điều hành Windows, Mac OSX và Linux.
  • Phần mềm hỗ trợ: Burp yêu cầu máy tính có cài đặt Oracle Java Runtime Environment (phiên bản 1.6 hoặc mới hơn).
  • Máy tính người dùng cần cài đặt thêm một số trình duyệt mới như Firefox, IE, Chrome, Chrome, Safari hoặc Opera. Khuyến cáo sử dụng Mozilla Firefox trong quá trình kiểm tra.

Tải chương trình Burpsuite

Người dùng có thể tải chương trình Burp tại liên kết http://portswigger.net/burp/download.html.
Burpsuite yêu cầu cài đặt Java trước khi thực thi. Tải và cài đặt Java tại liên kết: https://www.java.com/en/download/
Phiên bản miễn phí được khuyến nghị sử dụng trước khi bạn quyết định nên mua bản quyền thương mại với các tính năng nâng cao. Sau khi tải về máy tính, bạn sẽ ó tập tin JAR (Java Archive) có dạng burpsuite_free_v1.6.jar.

Khởi động và cấu hình cơ bản

Người dùng Windows có thể thực thi chương trình bằng cách mở tập tin burpsuite_free_v1.6.jar sau khi bảo đảm rằng Java Runtime đã được cài đặt trên máy tính.
burpsuite.1.6
Burpsuite Free 1.6

Kiểm tra hoạt động Burp

Burp Proxy đóng vai trò là chương trình trung chuyển các HTTP Request/Respone giữa trình duyệt và ứng dụng web, gọi là Intercepting Proxy. Burp cho phép người dùng toàn quyền điều khiển việc gởi/nhận dữ liệu HTTP/s đến máy chủ và trình duyệt phục vụ việc đánh giá bảo mật ứng dụng web một cách cụ thể cho từng lỗ hổng bảo mật.
burpsuite_config
Mô hình hoạt động Burp Proxy

Cấu hình tại Burp Proxy

Theo mặc định, Burp Proxy được cấu hình lắng nghe trên cổng 8080/TCP. Để kiểm tra chắc chắn rằng không có chương trình hoặc dịch vụ nào khác đang lắng nghe trên cùng cổng 8080/TCP, bạn thực hiện kiểm tra tại thẻ Proxy | Options.
brupsuite_proxy
Kiểm tra hoạt động Burp proxy

Cấu hình tại trình duyệt

Thực hiện cấu hình Proxy tại trình duyệt Firefox như ảnh minh họa
Cấu hình Proxy tại trình duyệt Firefox
Cấu hình Proxy tại trình duyệt Firefox
Cấu hình trình duyệt chuyển tiếp dữ liệu đến Burp Proxy
Cấu hình trình duyệt chuyển tiếp dữ liệu đến Burp Proxy

Tương tác với HTTP(S) Request/Respone

Tại bước này, bạn đã hoàn thành cơ bản cấu hình công cụ phục vụ kiểm tra ứng dụng web. Tại trình duyệt Firefox, bạn truy cập website http://btis.vn và  thực hiện tương tác các Request/Respone tại Burp, thẻ Proxy | Intercept
brupsuite_intercept
Các chức năng tại thẻ Intercept
Burp hỗ trợ giao thức HTTPS, một giao thức truyền dữ liệu đã được mã hóa từ trình duyệt và máy chủ. Ngày nay, HTTPS là một giao thức tiêu chuẩn bảo vệ đường truyền trong các web thương mại điện tử, ngân hàng trực tuyến và những dịch vụ có thông tin nhạy cảm. HTTPS chống lại dạng tấn công Man-in-the-middle làm rò rĩ các thông tin giữa người dùng và máy chủ web.
Trong mô hình đánh giá ứng dụng web có sử dụng giao thức HTTPS, Burp hoạt động như một đối tượng đứng giữa nhằm giải mã các dữ liệu HTTPS truyền qua nó. Đây là nguyên nhân bạn sẽ nhận được các cảnh báo an ninh tại trình duyệt do Certificate (được tạo ra bởi Burpsuite) không được tin tưởng bởi danh sách certificate authority.
Thực hiện kiểm tra tính năng này bằng cách truy cập https://github.com và so sánh Certificate trong trường hợp có và không sử dụng Burp proxy.
Certificate hợp lệ được cấp bời máy chủ web
Certificate hợp lệ được cấp bời máy chủ web
Certificate được cấp bởi Burp proxy
Certificate được cấp bởi Burp proxy
Nhằm bảo đảm bạn có thể thực hiện đánh giá bảo mật ứng dụng có sử dụng HTTPS, bạn cần thông báo cho phép trình duyệt sử dụng Certificate được cấp bởi PortSwigger.
Cho phép trình duyệt truyền dữ liệu HTTPS qua Burp proxy
Cho phép trình duyệt truyền dữ liệu HTTPS qua Burp proxy

Sừ dụng Burp Proxy truy cập website có hỗ trợ SSL certificate pinning

Một phương pháp khác sử dụng Burpsuite cho việc đánh giá các website thông qua SSL/TLS được trình duyệt hỗ trợ tin tưởng chứng thư số (SSL certificate pinning) thông qua việc cài đặt Burp CA Certificate. SSL certificate pinning là kỹ thuật được tích hợp rộng rãi vào các trình duyệt hiện đại ngày nay nhằm bảo đảm an toàn những ứng dụng web được sử dụng rộng rãi tại internet (ví dụ: Google, Gmail Facebook, Twitter), cơ chế này chống lại việc các kết nối an toàn bị thay thế bởi một cuộc tấn công man-in-the-middle sử dụng chứng thư số không an toàn khi đi qua môi trường mạng internet. Bằng cách cài đặt Burp CA Certificate, bạn đã thông báo đến trình duyệt về sự tin tưởng tuyệt đối các chứng thư số được tạo ra bởi PortSwigger CA khi sử dụng Burp.
ssl_untrusted
Người dùng không thể truy cập Gmail.com do sử dụng CA Certificate từ nhà cung cấp không được tin tưởng.
Để thực hiện cài đặt Burp CA Certificate tại trình duyệt Firefox, bạn thực hiện như ảnh minh họa sau:
Thực hiện truy cập http://burp tại thanh địa chỉ web, chọn CA Certificate và save tập tin cacert.der
Thực hiện Export Burp CA Certificate
Thực hiện Export Burp CA Certificate
Tại trình duyệt Firefox thực hiện Import CA Certificate như hình minh họa:
Thực hiện Import CA Certificate tại trình duyệt Firefox
Thực hiện Import CA Certificate tại trình duyệt Firefox
Import CA Certificate
Import CA Certificate
Sau khi hoàn tất, bạn có thể kiểm tra bằng cách truy cập Google.com hoặc Gmail.com và được trình duyệt thông báo đây là một kết nối tin tưởng, không còn các cảnh báo không cho phép truy cập máy chủ do sử dụng chứng thư số không an toàn.
burp_ca_certificate

Kết luận

Trong suốt thời gian thực hiện Đánh giả bảo mật ứng dụng web, chúng tôi nhận thấy Burp Suite là một công cụ mạnh mẽ trong việc hỗ trợ xác định các tham số, sitemap, các website liên quan, thu thập HTTP Request/Respone Header v.v… Bằng cách kết hợp các kỹ thuật đánh giá khác nhau vào công cụ Burp Suite, người dùng có thể tự phát triển thêm các mẫu tấn công mới mà không phụ thuộc vào nhà phát triển ứng dụng. Để cập nhật các bài viết về Burp Suite bạn có thể truy cập đường dẫn sau: http://www.btis.vn/tag/burpsuite

COMMENTS

Tên

.:: Connect Trojan ::.,111,.htaccess,2,0-day,3,2017,2,Add-on,16,Affiliate,1,Anotador,1,AutoIT,17,BackDoor,1,Bán Sách,13,banhangonline,1,Bảo Mật,173,Bất Động Sản Tại Tiền Giang,5,Bestsellers,13,Binder,1,blog,31,Blogger,4,Blogger Template,1,Botnet,3,Brute,1,Bug Bounty,1,Bypass,10,camera,1,ceh,1,Châu Tinh Trì,2,Checked,6,Chrome,21,Code,5,coin hive,1,Coin-Hive,2,CoinHive,1,Connect Trojan,342,Connect Trojan ::.,1,Cổ Tích,2,Crack,3,Crypto,5,CSRF,5,CSS,2,Cuộc Sống,1,Dau tu,8,DDoS,6,Designer,1,Dich vụ,1,DNS,4,Download,2,du-an,3,DVD LUMION Tiếng Việt của anh Dũng Già Pro,1,Đam Mỹ,1,điện,1,Đồ Họa,215,Đô Thị,16,e11.me,1,ebook,17,ebook free,295,eBook Phệ Hồn Nghịch Thiên,1,eBook Thịnh Thế Địch Phi,1,Encrypt,1,Encryption,1,epub,76,epub [Tiên hiệp],1,ET-Logger,1,exploit,23,Exploitation,1,Extractor,2,facebook,69,FireFox,15,Flood,2,Forensic,7,full prc,2,game,177,Gerador,3,Gerenciador,1,Get Root,3,GHDB,3,Giả Tưởng,1,giaitri,1,Google,15,H&Y Shop,2,Hacker,3,Hacking,16,Hacking and Security,6,Hacking Tools,36,Hành Động,3,He Thong Site Phim,25,Hijacking,6,Hình Sự,1,hivecoin.hive coin,1,Hỏi Xoáy Đáp Xoay Trên VTV3,1,HTML,1,Huyền Ảo,92,Hướng dẫn Internet cơ bản,1,IFTTT,703,Imgur,2,Infographic,1,Information Disclosure,1,Internet Explorer,3,IT News,39,J2TeaM,29,J2TeaM Tools,9,JavaScript,6,Javascript Injection,3,Juno_okyo's Blog,23,Khóa Học,32,Khóa Học kiếm tiền online với accesstrade,5,khoá học miễn phí,16,Khóa học Photoshop,19,Khóa học sử dụng mã độc và phòng chống mã độc,2,Khoa Huyễn,6,khuyến mãi,16,kiemhiep,9,Kiếm Hiệp,20,Kiếm Tiền MMO,34,kiếm tiền rút gọn link,1,KilerRat,1,Kinh Dị,24,Kinh Dị - Ma,4,Kinh Doanh,73,kinhdi,1,kinhdoanh,5,KRACK Attacks,1,Lãng mạn,1,lazada,1,Lập trình,2,Lịch Sử,5,Linux,1,Local Attack,2,Logins/Cadastro,1,Lỗi Web,1,Lược Sử Hacker,2,Mã Giảm Giá,2,Mã Hóa,48,Malware,3,Master-Code,31,Máy Tính,1,Metasploit,2,Microsoft,4,mobile hacking,2,monero,1,Movie,25,MySQL,1,NEW PRODUCTS,19,NGHỆ THUẬT ẨN MÌNH,13,ngontinh,10,Ngôn Tình,151,nhà đất,1,Nhà Đất Gò Công,1,Nhân Vật Lịch Sử,2,Nhật Bản,1,Nhựt Trường Group,1,NjRat,5,Nước,1,open redirect,1,Oracle,1,Path Disclosure,2,pdf,76,Pen-Test,6,Pentest Box,9,Phan mem Internet,1,phanmem,23,phanmemdienthoai,3,phanmemmaytinh,10,phần mềm,11,Phim 18,2,Phim 2012,1,Phim 3D,1,Phim Âm Nhạc,2,Phim Bộ,39,Phim Chiến Tranh,5,Phim Dã Sử - Cổ Trang,6,Phim Đài Loan,6,Phim Đề Cử,4,Phim Hài Hước,26,Phim Hàn Quốc,33,Phim HD Chất Lượng Cao,5,Phim Hoạt Hình,2,Phim Hot,1,Phim Hồng Kông,20,Phim HQ,2,Phim Kinh Dị,8,Phim lẻ,4,Phim Mới 2011,2,Phim Mới 2012,1,Phim Mới 2015,1,Phim Nhật Bản,4,Phim SD,3,Phim Thái Lan,6,Phim Thần Thoại,4,Phim Tình Cảm,35,Phim Trung Quốc,37,Phim Truyền Hình,19,Phim Viễn Tưởng,1,Phim Võ Thuật,36,Phim Xã Hội Đen,1,Phishing,5,PHP,16,Plugin,1,Port,1,post mẫu,1,prc,77,Programming,15,Python,1,Quảng Cáo,1,rat,457,Recovery,3,Remote Code Execution,1,Remote Desktop,1,Reverse Engineering,6,review,3,rút gọn link,1,sach,47,Sách,37,Sách Nghệ Thuật Sống,12,sách nói,1,Sách Tâm Linh,1,Sách Tiếng Anh,2,sachiep,2,Sản Phẩm,1,Sắc Hiệp,16,Scam,1,Scanner,10,Security,66,SEO,5,share,1,Shell,5,shop,1,Social Engineering,4,Software,22,Source Unity,1,SQL injection,21,Sức Khỏe,1,Symlink,3,Tài Chính,1,Tài chính cá nhân,2,Tài Liệu,1,Tản mạn,7,Taudio,2,Tâm lý xã hội,1,tấn công,1,Testador,1,Thái Lan,2,Tham Khảo,3,thamkhao,11,them,1,Thiệp Cưới,1,Thiết Kế Web,30,Thời Trang,2,Thủ Thuật Hacking,53,Thuyết Minh,1,tienhiep,5,Tiên Hiệp,123,Tiểu Thuyết,94,tiki,3,TIL,8,Tin Tức,52,Tips,39,tool,1,Tool Hack,14,Tools,9,Tổng Hợp,1,Tricks,26,Trinh thám,1,trojan original,48,Trọng sinh,11,Trộm mộ,1,Trung Quốc,1,Truyện,1,Trương Định,110,Tu Chân,2,TUTORIALS,124,Twitter,1,Ung_Dung,4,Upload,1,usb,1,vanhoc,11,văn học,6,vBulletin,7,video,16,Vietsub,1,Việt Nam,4,Virus,4,Võ Thuật,3,Võng Du,5,Vulnerability,19,Web Developer,15,webmau,5,WHMCS,3,WiFi,2,wiki lỗi máy tinh,1,wiki lỗi NTG,3,Windows,12,WordPress,43,Write-up,11,XSS,16,Yahoo,1,yeah1offer,1,youtube,11,
ltr
item
NhutTruong.Com - Chia sẻ kiến thức miễn phí: Sử dụng Burpsuite trong đánh giá bảo mật ứng dụng web (phần 1)
Sử dụng Burpsuite trong đánh giá bảo mật ứng dụng web (phần 1)
http://www.btis.vn/wp-content/uploads/2016/01/brupsuite_compare.png
NhutTruong.Com - Chia sẻ kiến thức miễn phí
https://www.nhuttruong.com/2016/10/su-dung-burpsuite-trong-anh-gia-bao-mat.html
https://www.nhuttruong.com/
https://www.nhuttruong.com/
https://www.nhuttruong.com/2016/10/su-dung-burpsuite-trong-anh-gia-bao-mat.html
true
7607280272436897486
UTF-8
Loaded All Posts Not found any posts VIEW ALL Readmore Reply Cancel reply Delete By Home PAGES POSTS View All RECOMMENDED FOR YOU LABEL ARCHIVE SEARCH ALL POSTS Not found any post match with your request Back Home Sunday Monday Tuesday Wednesday Thursday Friday Saturday Sun Mon Tue Wed Thu Fri Sat January February March April May June July August September October November December Jan Feb Mar Apr May Jun Jul Aug Sep Oct Nov Dec just now 1 minute ago $$1$$ minutes ago 1 hour ago $$1$$ hours ago Yesterday $$1$$ days ago $$1$$ weeks ago more than 5 weeks ago Followers Follow THIS PREMIUM CONTENT IS LOCKED STEP 1: Share to a social network STEP 2: Click the link on your social network Copy All Code Select All Code All codes were copied to your clipboard Can not copy the codes / texts, please press [CTRL]+[C] (or CMD+C with Mac) to copy Table of Content