Burp Suite : آیا به نسخه حرفه ای این ابزار نیاز داریم؟

Burp Suite : آیا به نسخه حرفه ای این ابزار نیاز داریم؟

مقدمه

این سوال از آن دسته سوال‌هاییست که اغلب از من پرسیده می‌شود، که ازنظر من یک جواب کوتاه دارد و آن “نه” است. شما به Burp suite pro نیاز ندارید. می‌توانیم بگوییم که نسخه حرفه‌ای این ابزار مزایای زیادی دارد که می تواند کارهایتان را بسیار آسان تر کند. بنابراین زمان‌هایی که به burp suit نیاز ندارید، درنتیجه به burp pro هم نیاز ندارید، ازاین منظر به این قضیه نگاه کنیم، شما نیاز ندارید که هرهفته سیب‌زمین سرخ‌کرده بخورید، ولیکن خوردنش هم حس خوبی بهتون میده J

بسته به نوع استفاده شما از burp suit نوع مزایایی که از burp pro میتوانید دریافت کنید متفاوت است. دراین مقاله برخی از این موقعیت‌ها را بررسی می‌کنیم، اما این شما هستید که باید انتخاب کنید که به نسخه حرفه‌ای burp نیاز دارید یانه، چرا که هزینه تهیه نسخه حرفه‌ای برای خیلی از افراد خیلی سنگین است. من شخصا به آن به چشم سرمایه‌گذاری نگاه می‌کنم.

مزایای کلی Burp suite

باتوجه به اینکه این مزایا به سناریو استفاده شده بستگی دارد، برخی از این مزایا می‌تواند برای هرکسی مفید باشد، که آن‌ها را درادامه برایتان به صورت لیست درآورده‌ام.

  • برای من بزرگترین مزیت burb pro این بود که می‌توانستم پروژه‌های خودم را ذخیره کنم. به‌عنوان یک QA تیم لید تمام وقت، پدر تمام وقت، یک مربی مشتاق و یک شکارچی جایزه آسیب‌پذیری هستم که باید تمام این مسئولیت‌هایی که دارم را به صورت کاملا موثر از یکدیگر جدا کنم. تست کامل یک هدف در زمان یک ساعته یک کار نشدنی است و بااختلاف زیادی بزرگترین مانع من آماده‌سازی مراحل راه‌اندازی است. بدین حالت که هرزمان قصد تست هدفی را دارم، تنها پیکربندی burp suite پانزده دقیقه زمان می‌برد و این خود به تنهایی در ابتدای کار من را متوقف می‌کند. مخصوصا اگر برای تست هدفم فقط یک ساعت زمان داشته باشم و باید این کار را به هبترین نحو ممکن انجام دهم و اصلا دوست ندارم که یک چهارم این زمان را همیشه برای راه اندازی این ابزار ازدست بدهم.
  • از تمام قدرت burp intruder می‌توانیداستفاده کنید. وقتی از نسخه کامیونتی استفاده می‌کنید، portswingger تعداد درخواست‌های شما را تا 100 درخواست در هر حمله محدود کند و نرخ درخواست‌ها به شدت محدو می‌شضوددراینصورت.
  • درنسخه حرفه‌ای به لیست کلمات (Wordlist) ساخته شده توسط portswingger دسترسی داریم که عالی است.
  • یابنده محتوا ابزار بی‌نظیری است که در نسخه حرفه‌ای برپ سوئیت امکان استفاده از آن وجود دارد. این ابزار یکی از بهترین یابنده‌های محتواست که وجود دارد و امکانات زیادی دارد. در بخش بعدی با جزئیات بیشتر به بررسی این ابزار پرداخته ایم.
  • درکنار ابزار یابنده محتوا، به مجموعه‌ای از ابزارهای تعاملی کاربردی دیگری مثل ابزاری برای تشخیص فایل‌های جاوااسکریپت و ابزاری برای پیدا کردن منابع نیز می‌توانیم درسترسی داشته باشیم.
  • می‌توانیم مجموعه کاملی از اکستنشن‌های burp مثل  اسکنر CSRF که بسیار کاربردی هستند را نصب کنیم. در ادامه مقاله بیشتر دراین باره صحبت خواهیم کرد.
  • می‌توانیم کل پروژه را مورد بررسی و کاوش قرار دهیم که این امکان در CE وجود ندارد.
  • امکان‌های burp infiltrator و Collaborator client فقط در نسخه حرفه‌ای برپ در دسترس هستند.

کسب‌وکارهای کوچک

این ابزار برای کسب‌وکارهای کوچک یک مزیت عمده‌ای دارد که به نظر من شکارچیان باگ بانتی نمی‌توانند آنگونه که میخواهند از آن بهره‌مند شوند. با اجرای اسکن‌های خودکار روی هدفتان می‌توانید آسیب‌پذیری‌های در دسترس و راحت‌الوصول را قبل ازاینکه این ویژگی‌ها وارد محصول نهایی شوند، حذف کنید. لطفا به یاد داشته باشید که این نسخه شامل هیچ یک از یکپارچه‌سازی‌های CI/CD نیست.

به نظر من علت اینکه اسکن‌های خودکار برای شکارچیان جایزه آسیب‌پذیری زیاد جالب نیست این است که باگ بانتی یک جورایی یک کار بی قاعده و قانون است و درکل از قوانین مرسوم تامین امینت پیوری نمی‌کند. دراین رویه پس از پن تسترها و تیف وسیعی از محققان امنیتی که به دنبال هدف ما هستند، آخرین نفری هستیم که به هدف مان نفوذ می‌کنیم. درکنار همه اینها، اکثر برنامه‌ها به شما چنین اجازه‌ی نمیدهند، و برخی از WAF ها حتی ممکن است IP شما را مسدود کنند(IP ban).

کسب‌وکارهای متوسط یا بزرگ

درصورتیکه فرایند توسعه تان را به یک صنعت خاص محدود کرده باشید و پایپ لاین‌های CI/CD خود را راه‌اندازی کرده‌اید، ممکن است بخواهید از اسکن برپ هم در این خط تولیدتان استفاده کنید. این امکان وجود دارد ولیکن برای انجام این کار به نسخه enterprise برپ نیاز دارید که هزینه بسیار زیادی دارد، اما این نسخه ویژگی های خاص خودش را دارد. که خب هزینه موردنفوذ قرار گرفتن بیشتر از آن است.

https://portswigger.net/burp/enterprise/features

  • افزودن تست خارج از بند خودکار، اینجا جایی است که می‌توانید با راه‌اندازی یک سرور و مجبور کردن هدف برای ارسال درخواست به سروری که ساخته اید، SSRF کور را تست کنید.
  • پشتیبانی از وب اپلیکیشن های مدرن مثل SPAها (اپلیکیشن های تک صفحه‌ای)
  • پشتیبانی از پایپ‌لاین‌های CI/CD
  • امکان راه‌اندازی اسکن متناوب برای ایجاد مانیتور طبقه‌‌بندی‌ها
  • ادغام با ردیاب‌های باگ
  • کنترل دسترسی مبتنی برنقش، نیازی به استفاده از افزونه‌هایی مثل authorize نیست.

نتیجه‌گیری

بنابراین در پاسخ به این سوال که آیا به burp suit pro نیاز داریم یا نه؟ جواب من نه است. شما می‌توانید هرکدام از ویژگی‌های موجود در برپ سوئیت حرفه‌ای را بااستفاده از ابزارهای مختلف یا استفاده از ابزار ZAP موجود در OWASP اجرا کنید. این ابزار با داشتن اسکنرتوانای خودش، به شما مخصوصا در تست نفوذ بسیار کمک کند.

 

دیدگاهتان را بنویسید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *