Burp Suite عبارة عن أداة برمجية خاصة لتقييم الأمان واختبار

قبل الخوض في التفاصيل، Burp Suite عبارة عن أداة برمجية خاصة لتقييم الأمان واختبار الاختراق لتطبيقات الويب. تم تطويره في البداية في الفترة من 2003 إلى 2006 بواسطة Dafydd Stuttard لأتمتة احتياجات اختبار الأمان الخاصة به، بعد إدراك قدرات أدوات الويب القابلة للأتمتة مثل Selenium . أنشأ ستوتارد شركة PortSwigger لتكون الرائدة في تطوير Burp Suite. يتوفر هذا المنتج بإصدارات مجتمعية مجانية ولكن محدودة الاستخدامات ومهنية خاصة بالاشخاص الذين يعملون في مجان الامن السيبراني كافراد ومؤسسية عبارة عن نظام كامل لاختبار ومتابعة الثغرات للشركات بدون اي تفاعل يدوي او بتفاعل بسيط جدا لنكون صرحاء. وتعرض الأقسام التالية جوانب أخرى من الموضوع.

وفي السياق ذاته، تتضمن القدرات البارزة في هذه المجموعة ميزات لتوكيل عمليات الزحف او التحرك في المواقع على الويب (Burp Proxy)، وتسجيل طلبات/استجابات HTTP (Burp Logger وHTTP History)، والتقاط/اعتراض طلبات HTTP أثناء ارسال واستلام الطلبات من والي المواقع التي تختبرها (Burp Intercept)، والتقارير المجمعة التي تشير إلى نقاط الضعف (Burp Scanner). يستعمل هذا البرنامج قاعدة بيانات مدمجة تحتوي على أنماط لادوات مدمجة للبحث عن الثغرات او الاماكن غير الأمنة وكلمات رئيسية للبحث داخل طلبات/استجابات HTTP الملتقطة.

في هذا الإطار، يتمتع Burp Suite بالعديد من وظائف الاختراق. تتضمن بعض خدمات PoC مثل خدمة Generate CSRF PoC المضمنة اختبارات لخفض مستوى HTTP، والتفاعل مع خوادم الحماية الخارجية المستضافة بالأدوات (Burp Collaborator) تلك الخاصية تساعد في اكتشاف ثغرات مثل SSRF and File Local Inclusion، وتحليل قوة التوزيع العشوائي الزائف (Burp Sequencer). تسمح هذه الأداة بدمج الوظائف المحددة من قبل المستعمل من خلال تنزيل المكونات الإضافية مفتوحة المصدر (مثل Java Deserialization Scanner و Autorize و Active Plus Plus ).

النسخة الاحترافية

وفي السياق ذاته، حفظ الملفات: يسمح الإصدار الاحترافي للمستعملين بحفظ مشاريعهم كملفات ".burp".

وفي السياق ذاته، يتضمن الإصدار الاحترافي من Burp Suite الذي يتم استخدامه من قبل المختبرين في الشركات والافراد جميع ميزات المجتمع إلى جانب تلك المدرجة أدناه.

علاوةً على ذلك، لوحة معلومات التجشؤ: تعرض النتائج وتصنف المشكلات بناءً على شدتها. يمكن توفير أوصاف تفصيلية وخطوات الإصلاح بناءً على نوع النتيجة.

ومن جهة أخرى، Burp Clickbandit: أداة لإثبات مفهوم اختبار هجمات النقر على ملفات HTML وJavaScript في الواجهة الأمامية لتطبيقات الويب.

ومن ناحية أخرى، Burp Infiltrator: وكيل IAST تم تصميمه لأتمتة المسح التفاعلي/وقت التشغيل وتوصيل النتائج من خلال ميزة Burp Collaborator.

وفي هذا السياق، منظم التجشؤ: يسمح للمستعملين بتنظيم طلبات/استجابات HTTP المحددة في مجموعة محفوظة.

ومن جهة أخرى، Burp Scanner: يقوم بأتمتة تدقيق التقارير و/أو البحث على الويب عن الطلبات/الاستجابات التي تم التقاطها عبر HTTP. يستعمل قواعد داخلية لمراجعة المحتويات من استجابات HTTP التي تم اعتراضها من أجل البحث عن قيم الاستجابة المعرضة للخطر. يتيح للمستعملين تخصيص سرعات الماسحات الضوئية وتغطية النتائج.

من جانب آخر، Burp Collaborator: يحاكي استضافة خادم C2 لمحاولة التفاعل مع الخدمة الخارجية والهجمات خارج النطاق.

في هذا الإطار، Burp Intruder: على غرار Burp Repeater على نطاق أوسع، يمنح المستعملين الوسائل لإرسال طلبات HTTP متوازية متعددة مع تغييرات على متغيرات الطلب المحددة.

بامباداس

انظر كذلك

إضافةً إلى ذلك، يمكن للمستعملين كتابة نصوص Java لإنشاء تصفية مخصصة لمؤشرات طلبات/استجابات HTTP في قوائم HTTP History وWebSocket History وLogger الخاصة بـ Burp Suite. هذه ميزة بسيطة كما تري ولكن لها استخدامات عدة منها بعض من المستعملين صنع نص لوضع علامات علي الطلبات لوضعها كادلة علي الثغرات وهو ياخذ صورة للشاشة.

مميزات البرب سويت

وعلى صعيد آخر، من العادة ان البرب سويت معروف ان لديه كمية من الاختبارات في النسخ المدفوعة منه جيدة جدا في اكتشاف الثغرات بشكل تلقائي منها ثغرات مثل XSS او LFI وايضا تم اصدار شئ جديد من سنتين يسمي BChecks ستجد معلومات عنه في ادني هذه الصفحة.

وفي السياق ذاته، كمحلل أمان للويب ، يقدم Burp Suite الكثير من الميزات المضمنة المصممة لمساعدة المختبرين في تدقيق تطبيقات الويب الخاصة بهم.

إصدار المجتمع

من جانب آخر، خريطة موقع Burp: تعمل BurpSuite بشكل مشابه لبرنامج OWASP ZAP ، حيث يمكن التقاط خرائط مواقع عناوين URL المستهدفة إما من خلال الزحف التلقائي أو اليدوي للويب. عندما يقوم المستعملون بالزحف عبر تطبيق ويب، يتم إرسال طلبات HTTP إلى وكيل ويب في برنامج Burp Suite. بمجرد التقاط طلبات/استجابات HTTP، يمكن التحقيق في نقاط النهاية هذه يدويًا أو تدقيقها تلقائيًا من خلال الميزات المتوفرة في الإصدار الاحترافي من Burp Suite.

كذلك، مُقارن التجشؤ: يسمح للمستعملين بمقارنة المحتوى الموجود بين طلبين HTTP مختلفين أو استجابات HTTP.

وفي السياق ذاته، Burp Proxy and Interceptor: مثل أجهزة فحص أمان تطبيقات الويب الأخرى، فإن إحدى الوظائف الأساسية وراء Burp Suite هي قدرته على العمل كخادم وكيل لطلبات HTTP من جانب العميل. يمكن لمختبري الاختراق اعتراض متغيرات طلبات HTTP الافتراضية لخوادم الويب (السمات، معلمات النص، ملفات تعريف الارتباط، الرؤوس) في الوقت الفعلي وتحرير هذه القيم أثناء التنقل.

فك تشفير التجشؤ: يقوم بفك تشفير النص تلقائيًا.

وعلى صعيد آخر، مكرر التجشؤ: يكرر طلبات HTTP الملتقطة، مما يسمح بإجراء تغييرات مخصصة على متغيرات الطلب.

من جانب آخر، تتضمن نسخة Community Edition المجانية من اداة Burp Suite الميزات التالية.

وفي السياق ذاته، Burp Extender: راجع قسم اضافات البرب سويت أدناه؛ تقتصر بعض مكونات Burp Suite على التفاعل مع الإصدار الاحترافي فقط فعلا وبعض الناس يظنون ان اداة Burp Suite مفتوحة المصدر وهذا غير صحيح اطلاقا.

علاوةً على ذلك، Burp Logger وHTTP History: يحتفظ بقائمة طلبات/استجابات HTTP التي تم التقاطها أثناء الزحف على الويب (والفحص التلقائي للإصدار الاحترافي).

إضافةً إلى ذلك، Burp Sequencer: يقوم بتحليل متغير الرمز المميز الذي تم إنشاؤه بواسطة التطبيق عبر طلبات HTTP المتكررة لتحديد قوة القدرة على التنبؤ بالعشوائية الزائفة.

أمان التطبيق

اختبار أمان التطبيقات الديناميكي (DAST)
تقييم نقاط الضعف (الحوسبة)
تقييم أمن تكنولوجيا المعلومات
أواسب زاب
متتبع الويب
خوادم بروكسي الويب
مراجع

BChecks

ومن جهة أخرى، تمت إضافة BChecks إلى Burp Suite في يونيو 2023 كوسيلة للسماح للمستعملين بإنشاء قواعد اكتشاف الثغرات الضوئي الخاصة بهم وتخصيصها. كما يريدون يتم صيانة مجموعة مختارة من BChecks بواسطة Portswigger من خلال مشروع GitHub مفتوح المصدر ولها طريقة كتابة خاصة بها وبسيطة.

اضافات البرب سويت

وفي هذا السياق، يمكن تنزيل الاضافات بصيغ مثل py, jar و rb الان من ما يقرب من عشرة سنين وتلك اللغات فقط المدعومة من بورت سويجر لاداة البرب سويت.

من جهة ثانية، يقدم BApps Burp Suite متجرًا للإضافات حيث يمكن للمستعملين تحميل وتنزيل المكونات الإضافية للوظائف غير المدعومة بشكل أصلي. تختلف المكونات الإضافية المختلفة في الوظائف، بدءًا من التعديلات على قابلية قراءة واجهة المستعمل، والإضافات إلى قواعد الماسح الضوئي، وتنفيذ ميزات جديدة تعتمد على التحليل, وايضا انت لست ملزم بتلك الاضافات فقط يمكنك صنع الاضافات الخاصة بك باستخدام BApp API.

وعلى صعيد آخر، تعتبر واجهة برمجة تطبيقات تمديد Burp Suite مفتوحة المصدر. يتم دعم مكونات Java الإضافية بشكل أصلي، في حين تتطلب الإضافات التي تستعمل Python وRuby من المستعملين تنزيل ملفات JAR لـ Jython وJRuby على التوالي.

وفي هذا السياق، كما قام موظفو Portswigger بإنشاء الكثير من مكونات Burp الإضافية كوسيلة لتطوير إثبات المفاهيم للأبحاث التي أجرتها الشركة. تتضمن الأمثلة على ذلك الامتدادات التي أنشأها جيمس كيتل، مدير الأبحاث في شركة بورتسويجر، بما في ذلك Backslash Powered Scanner، Param Miner، وHTTP Request Smuggler. نعم وكما قلنا فوق جيمس كاتل مطور اداة Active++ هو مسؤول بحث امني في شركة بورت سويجر.

برب سويت