BurpProxy(BurpSuite)を使用したWEBアプリ検査

リクエストデータを書き換える事ができるツール。
リクエストが送信される前にリクエストデータを都度確認、編集できる。
※繰り返して同じHTTPヘッダを追加する場合などは The Proxomitron の方が楽。(一度設定してしまえば良いので。)

  • 前準備
    • BurpProxy(BurpSuite)のダウンロード・インストール
       ・http://www.portswigger.net/suite/download.html から burpsuite_v1.1.zip をダウンロードして解凍するだけ。
        (JRE1.5以上がPCにインストールされていない場合は、先にインストールしておく事。)
  • Internet Explorerの設定
     ・Internet Explorer から [ツール] -> [インターネット オプション] -> [接続] -> [LANの設定] から下図のように設定する。
      ◆プロキシサーバ
       ☑ LANにプロキシサーバを使用する
         ※サーバがローカルで動作している場合は、「ローカルアドレスにはプロキシサーバを使用しない」のチェックを外しておく。
     
      ◆プロキシサーバの 詳細設定
    種類アドレスポート
    HTTPlocalhost8090
    Securelocalhost8090
     ※空いているポートであれば何処でも良い。
      BurpProxyのデフォルトでは 8080で動作するが、Tomcat等のポートとかぶるので、ここでは8090に変更した。
  • BurpProxyの使用方法
    • BurpProxyの起動
       ・suite.bat をダブルクリックするだけで起動する。
       (jarファイルがjavaと関連づけられている場合は、burpsuite_v1.1.jar をダブルクリックでも良い。)
  • BurpProxyの設定
     ・BurpProxyが動作するポートを、Internet Explorerで設定したポートに変更する。
      ※ちゃんとチェックが入っている事も確認する事。
 

burpProxy01.jpg

  • BurpProxyの使用開始
     ・[proxy] - [intercept] タブで [intercept is on] の状態にするだけ。
  • テストの実行
     (1) Internet Explorerから対象のアプリにアクセスする。(ここでは http://www.google.co.jp にアクセスしてみる)
     
     (2) BurpProxyに下図のようなリクエスト情報が表示されるので [forward] をクリックしてリクエストを素通りさせる。
       (リクエストを通すと googleのページが表示される)
     
      burpProxy02.jpg
     
     (3) googleのキーワードに "BurpProxy" と入力して [Google検索] をクリック。
     
      burpProxy03.jpg
     
     (4) BurpProxyに下図のようにリクエスト情報が表示される。
       ※googleは GETでリクエストを行っている様子。(1行目に q=BurpProxy と表示されている )
     
      burpProxy04.jpg
     
     (5) キーワード(q)の内容を "リクエストデータを書き換えるツール" に書き換えて [forward] をクリック。
     
      burpProxy05.jpg
     
     (6) 検索結果ページが表示される。※リスエストデータが書き変えられて送信された事がわかる。
     
      burpProxy06.jpg
     
     この要領で、リクエストデータを書き換えてテストができる。
     ここではテキスト入力の書き換えを行ったが、実際にはプルダウンや、ラジオボタン、チェックBOXなど
     画面上からは値を入力できない項目のデータを書き換えてテストする。

添付ファイル: fileburpProxy06.jpg 768件 [詳細] fileburpProxy05.jpg 769件 [詳細] fileburpProxy04.jpg 776件 [詳細] fileburpProxy02.jpg 791件 [詳細] fileburpProxy03.jpg 784件 [詳細] fileburpProxy01.jpg 810件 [詳細]

トップ   差分 バックアップ リロード   一覧 単語検索 最終更新   ヘルプ   最終更新のRSS
Last-modified: 2009-06-11 (木) 00:48:28 (2878d)