Burp Suiteは、Webアプリケーションのセキュリティ監査プラットフォームです。 Webアプリケーションのマッピング、ファイルとフォルダーの検索、クエリの変更、ファジング、パスワード選択などのためのツールが含まれています。 また、アプリケーションの機能を強化する追加の拡張機能を含むアドオンのBAppストアもあります。 この記事では、Webアプリケーションの侵入をテストする際にBurp Suiteの有効性を高めるツールについて説明します。
以前、このユーティリティの主な機能について説明しましたが、この記事では、BurpSuiteで拡張機能を管理するExtenderモジュールに焦点を当てます。
Burp Suite自体は非常に優れたツールであるという事実にもかかわらず、その機能はアドオン（BAppStoreとサードパーティの拡張機能の両方の特別なストアにある）の助けを借りて大幅に拡張できます。
Pyhton、Java、またはRubyで記述された独自の拡張機能を統合できる特別なAPIがあります。
拡張機能
HUNTプロキシ拡張
Webアプリケーションとそのコンポーネントを完全に調査するには、Webアプリケーションをテストしてテスト方法論に従うことをお勧めします。 このタスクを容易にするために、優れたHUNTプロキシ拡張があります。
この拡張機能は脆弱なパラメーターをチェックしませんが、むしろ、Penesterが手動で（より慎重に）チェックできるように警告します。 HUNTは、各脆弱性クラスについて、この脆弱性クラスに関連付けられた一般的なパラメーターまたは機能を定義します。
この拡張機能により、ペンテスターは「HUNT Methodology」と呼ばれるBurpタブに要求と応答を送信できます。 このタブの左側には、テスト方法の視覚的な表現であるツリーが含まれています。 リクエストを送信することで、ペンテスターは方法論の特定のステップを完了したことを確認できます。
→ 拡張機能のダウンロード
げっぷブルナーズスキャナー
BAppStoreでは、ソフトウェア脆弱性スキャナーと呼ばれます。 これは、vulners.com脆弱性データベースの作成者による拡張機能です。 この拡張機能を使用すると、Webアプリケーションの脆弱なコンポーネントを特定し、すぐに説明/エクスプロイトへのリンクを取得できます。
この拡張機能は、一般的なCMSの脆弱なプラグインを識別する時間を大幅に節約できます。
→ 拡張機能のダウンロード
げっぷオートマトン
自動化ツールとして、組み込みスキャナーを使用するか、Burp Automatorツールを使用できます。 このツールを使用すると、Burp Suite、slackclient、burp-rest-apiをベースとして使用してチェックを自動化できます。
→ 拡張機能のダウンロード
burp-xss-sql-plugin
XSS、OpenRedirects、およびSQLiを識別するために、Vladimir Ivanovの狭い円のプラグインで非常に人気があります。 作者がBugBountyプログラムに正常に参加するのを繰り返し支援しました。
→ 拡張機能のダウンロード
自動化
Web認証承認の問題を自動的に検出するためのこの拡張機能Autorizeは、Pentesterが自動承認パラメーターテストを実行できるように設計されました。 最新バージョンでは、Autorizeは自動認証を提供します。
→ 拡張機能のダウンロード
バープレイ
BurplayはBurp Extensionであり、その主な目的は、特権の昇格につながる脆弱性の特定を支援することです。
→ 拡張機能のダウンロード
おわりに
上記の追加に加えて、いつでもアプリケーションストアを使用して、Webアプリケーションのテストの効率を改善できる1つまたは別の拡張機能をインストールできます。
次の記事では、Webアプリケーションをテストするための同様に人気のあるツールであるOWASP ZAPユーティリティについて検討します。