Recommended
More Related Content
What's hot
What's hot (20)
Similar to [BurpSuiteJapan]Burp Suite導入・操作
Similar to [BurpSuiteJapan]Burp Suite導入・操作 (20)
[BurpSuiteJapan]Burp Suite導入・操作
- 1. Burp Suiteハンズオン 2017/05/27 Burp Suite Japan User Group 1
- 2. 2017/5/29 目次 2 事前準備 仮想マシン実行環境のセットアップ 実習環境（BadStore）のセットアップ 実習環境の起動・動作確認 Burp Suiteの説明 Burp Suiteの操作
- 4. 2017/5/29 必要ファイルの入手 4 仮想マシン実行環境 Downloads – Oracle VM VirtualBox https://www.virtualbox.org/wiki/Downloads へアクセスし、 VirtualBox platform packages VirtualBox 5.1.2 Oracle VM VirtualBox Extension Pack から自PCの環境にあったファイルをDLします。 実習環境（BadStore） https://cryptopone.com/downloads/BadStore_212.iso から直接BadStoreのISOイメージをDLします。 ※Webセキュリティ担当者のための脆弱性診断スタートガイド 上野宣が教える情報漏えいを防ぐ技術（上野宣） ｜ 翔泳社の本 http://www.shoeisha.co.jp/book/detail/9784798145624 の「ダウンロード」からも入手可能
- 16. 2017/5/29 VirtualBoxセットアップ（10/12） 16 機能拡張パッケージ選択画面が表示されたら、 DLしたOracle_(略)_Extension_Pack(略)を開 きます。
- 41. PortSwigger社製のJavaで作成された ローカルプロキシ Free EditionとProfessional Editionの2 種類存在し、Free Editionは一部機能が 制限されている 2017/5/29 Burp Suiteについて 41 Professional Editionの トライアルも受け付け ています。
- 42. Burp Suite Japan User Groupで初心 者向けのドキュメントとしてStartupマ ニュアルを公開しています。 2017/5/29 Startupマニュアル 42 https://github.com/bu rpsuitejapan/startup
- 44. リクエストを改変するために、Burp Suiteでリクエストをインターセプトし ます。 2017/5/29 プロキシに関して 44 Burp Suite ブラウザ HTTP Request サーバー リクエストを インターセプト HTTP Request インターセプトされている 間は送信されない。
- 46. レスポンスもリクエスト同様にイン ターセプトすることが可能です。レス ポンスのJavaScriptなどを書き換える ことができる。 2017/5/29 プロキシに関して 46 Burp Suite ブラウザ HTTP Request サーバー レスポンスを インターセプト HTTP Request HTTP Response HTTP Response
- 50. 事前に取得したリクエストなどを基に設 定した診断パターンをセットし、自動的 に送信する。 2017/5/29 Intruderに関して 50 Burp Suite ブラウザ サーバー HTTP Request HTTPログ 診断パターン 診断パターンを 付加して送信 HTTP Response HTTP Request HTTP Response 事前に 取得
- 51. Intruderは決められたパターンを自動的 に送信してくれるため、手動によるミス の軽減や作業効率の向上などのメリット があります。 2017/5/29 Intruderに関して 51 Burp Suite ブラウザ サーバー HTTP Request HTTP Response HTTP Request HTTP Response ミスの軽減 作業の効率化
- 52. Professional Editionだと診断するため の機能であるScannerも利用可能です。 IntruderとScannerの違いは以下です。 2017/5/29 Intruderに関して 52 Intruder Scanner 診断パターン 利用者が用意す る必要がある。 用意する必要は ない。 結果の評価 利用者が判断す る必要がある。 自動的に判定さ れる。 Intruderは利用者が細かく設定する必要が あるが、その分、カスタマイズが可能。
- 53. 利用者が設定した診断パターンを自動的に送 信してくれるため、手動で実施するより効率 がよい。 2017/5/29 Intruderに関して 53 診断パターンの選定や結果の判定に一定の知識を求められるた め、以下のドキュメントや書籍などを参考にする必要がある。 • ウェブ健康診断 仕様 https://www.ipa.go.jp/files/000017319.pdf • 脆弱性診断スタートガイド http://www.shoeisha.co.jp/book/detail/9784798145624 だが
- 55. 事前に取得したHTTPログなどを手動で 変更し複数回送信することが可能。診断 時に一番使用頻度の高い機能です。 2017/5/29 Repeaterに関して 55 Burp Suite サーバー HTTP Request HTTPログ 診断時に、1つのリクエス トに対して様々な検証をす る場合などに効果的 HTTP Response 手動で内容を変更し送信 HTTP Request HTTP Response 事前に 取得
- 56. 左側のリクエストを編集し、Goボタン をクリックすると右側にレスポンスが表 示されるため、診断結果をすぐに確認で きる。 2017/5/29 Repeaterに関して 56 リクエスト レスポンス
- 57. それぞれの用途があり、Intruderで怪しい箇 所を洗い出して、Repeaterで確認するなど 使い分けて活用できます。 2017/5/29 RepeaterとIntruderの違い 57 Repeater Intruder 診断パターン 利用者が用意する 利用者が用意する メリット 利用者の好きなよう にリクエストを修正 し、送信できる 決められたパターン を自動的に送信して くれる 特徴 柔軟性がある 診断結果分析の補助 機能がある
- 60. Free Editionのログ保存機能に制限が あったり、日本語で文字化けなどが発生 することがあるので、そういう問題を Extensionで回避。 • Logger++(BApp storeからインストー ル) • OgaCopy(http://www.geocities.jp/b urplogviewer/burpextender.html) 2017/5/29 拡張機能に関して 60
- 62. Burp Suiteはjarファイルとして配布されているため、jarファイ ルをダブルクリックするだけで起動できます。 しかし、診断するとメモリを多く使用しますので、メモリサイ ズを指定して起動することをお勧めします。 メモリサイズを指定した起動方法は以下のコマンドを実行しま す。 java -Xmx1024m -jar /path/to/burp.jar はせがわようすけ氏が、最新バージョンのjarファイルを自動的 に探して起動するスクリプトを公開しています。 jarファイルの 保存先フォルダと、コマンドライン引数を適宜書き換えて利用 してください。 https://gist.github.com/hasegawayosuke/71729d508f90 3a7dd42e Burpを起動する 62
- 63. Burpを起動すると、プロジェクトを選択する画面が出ますがフ リー版の場合は「Temporary project」しか選べません。 そのまま「Next」ボタンを押します。 Burpを起動する 63
- 64. 「Use Burp defaults」を選択し、「Start Burp」ボタンを押し ます。 Burpを起動する 設定をファイルに 保存し、次回以降 にその設定を使用 できます。 以前使用した設定 を使用する場合は 「Load from configuration file」を選択し、 ファイルを指定し ます。 64
- 66. 以下の設定を行い、「OK」ボタンを押します。 Host or IP range：検査対象のホスト名、IPアドレス 今回の実習では「^www.badstore.net$」を指定します。 ターゲットの設定 検査対象の制限は以下の項目でも可能です。 Protocol：HTTP/HTTPS/Any Port：サーバーのポート番号 File：ファイルパス Host or IP range、Port、Fileは正規表現で指定することもできます。 66
- 67. デフォルト設定ではすべてのリクエストをキャプチャします。検 査対象となるリクエストのみキャプチャするように設定します。 「Proxy」「Options」タブを選択します。 「Intercept Client Requests」の「URL：Is in target scope」 にチェックを入れます。 リクエストのキャプチャ制限 67
- 69. Burpの「Proxy」「Intercept」タブを開くと今送信した リクエストがキャプチャされています。 このリクエストは変更せずにサーバーに送信するため 「Forword」ボタンを押します。 リクエストのインターセプト 「Intercept is on」ボタンをクリック して、表示を「Intercept is off」に変 更すると、リクエストがインターセ プトされなくなります。 再度インターセプトしたい場合は 「Intercept is off」ボタンをクリック して、表示を「Intercept is on」に変 更してください。 69
- 75. 付録 75
- 77. 「HTTP Message Display」の「Change font」ボタンを押し ます。 日本語フォントを選択し、「OK」ボタンを押します。 フォントの設定