Burp Suite est un outil permettant de réaliser des tests de sécurité d’application web. Celui-ci peut vous servir si vous souhaitez altérer des requêtes à la volée pour tester diverses vulnérabilités. C'est un outil populaire, qui mérite donc au moins un petit tutoriel.
Pour le lancer :
Menu « Applications -> Applications Web -> BurpSuite »
Vous pouvez utiliser les paramètres par défaut lors du lancement.
Rendez-vous dans « Proxy -> Options » et vérifiez qu’il y ait un listener actif :
Vous pouvez ensuite utiliser Firefox (dans Kali) pour le configurer avec BurpSuite :
Tapez « about:preferences » dans la barre d’adresses.
Sélectionnez l’onglet « Advanced » puis « Network » et cliquez sur « Settings » puis entrez l’adresse IP locale et le port donnés dans BurpSuite :
Vous pouvez ensuite visiter des sites web dans Firefox, par exemple un site vulnérable en local (de mon cas, « VulneWeb » hébergé sous Windows 7).
L’onglet « Proxy » s’allumera ainsi que l’onglet « Intercept ». Vous pouvez cliquer sur le bouton « Forward » pour continuer les requêtes.
L’onglet « Target » et le sous-onglet « Sitemap » seront dès lors actifs et enregistreront les sites web visités :
Pour tester une faille XSS par exemple, vous pouvez la tester manuellement dans le site web, puis la laisser passer à travers le proxy puis cliquer sur la requête et l’envoyer dans le répéteur :
De là, vous pourrez rejouer la requête en changement notamment son contenu :
Vous avez accès au tutoriel pour tester le Top 10 OWASP des failles web via le lien suivant :