Burp Suite - Parte II

Diego Venera. Nesta segunda parte, nos aprofundaremos ainda mais nas capacidades do Burp Suite. Além das características técnicas que tornam esta ferramenta um padrão na indústria de cibersegurança, compartilharei algumas de minhas experiências pessoais, destacando como o Burp Suite se tornou um aliado inestimável no meu dia a dia como estudante de segurança informática.

Então prepare-se para entrar no mundo da avaliação de segurança de aplicações web com Burp Suite, uma ferramenta que combina o técnico com o prático de forma excepcional.

Nesta ocasião mostrarei alguns exemplos práticos através do Burp Suite para testar a segurança de alguns sites, levando em consideração as boas práticas e sendo o mais ético possível.

Enumeração de diretório e modificação de solicitações no Burp Suite

Neste exercício, explicarei a metodologia para enumeração de diretórios e modificação de solicitações usando Burp Suite. Da mesma forma, detalharei os passos necessários para a configuração inicial que garante o ótimo desempenho do nosso proxy web, permitindo-nos estabelecer conexões e interceptar efetivamente o tráfego.

É importante ressaltar que, para executar estes exercícios, optei por implementar o Burp Suite em um ambiente operacional baseado em Kali Linux. A partir desta premissa, procederemos à enumeração dos seguintes passos correspondentes ao nosso primeiro exercício:

Passo 1: Instalação

Baixe e instale o Burp Suite em seu sistema. Você pode obter a versão gratuita no site oficial do PortSwigger ou, se tiver a versão Professional, instale-a seguindo as instruções fornecidas. No meu caso, utilizo Kali Linux para os respectivos testes e farei isso via linha de comando.

Passo 2: Configuração do proxy

Na guia Proxy do Burp Suite, você verá a seção Proxy Listener. Lá, você pode configurar a porta na qual o proxy da web escutará as solicitações. Por padrão, geralmente é a porta 8080, mas você pode ajustá-la de acordo com suas preferências ou requisitos.

Se você deseja que o Burp Suite intercepte o tráfego HTTPS, certifique-se de ativar a opção Intercept HTTPS CONNECT. Isso permitirá que o Burp atue como intermediário para conexões HTTPS, o que é útil para análise segura de tráfego.

Passo 3: Configuração do navegador

Para rotear o tráfego da web por meio do Burp Suite, você deve configurar seu navegador para usar o proxy que acabou de configurar. É aconselhável utilizar o navegador Firefox, pela facilidade de configuração e eficiência no trabalho com esta ferramenta.

Abra as configurações do seu navegador e procure a seção de configurações de proxy ou rede.

Defina o endereço IP da sua máquina e a porta na qual o Burp Suite escuta como servidor proxy. Se o Burp Suite e seu navegador estiverem na mesma máquina, use localhost ou 127.0.0.1 como endereço IP.

Passo 4: Certificado SSL do Burp Suite

Ao interceptar o tráfego HTTPS, pode ser necessário instalar o certificado SSL Burp Suite em seu navegador. Este certificado permite que o Burp Suite criptografe e descriptografe adequadamente o tráfego HTTPS.

Para instalar o certificado SSL, no seu navegador Firefox digite http://burp e você verá o seguinte:

Você deve baixar o certificado clicando em Certificado CA (é baixado um arquivo chamado cacert.der), então para importá-lo vamos ao Certificate Manager em Configurações e clicamos em Importar para selecionar nosso certificado:

Com essas etapas, você terá configurado com êxito o proxy da web no Burp Suite. Agora você está pronto para interceptar e analisar o tráfego da web em seus testes de segurança ou análise de aplicativos da web de forma mais eficaz.

Passo 5: Iniciar gravação de tráfego

Comece a registrar o tráfego da web no Burp Suite. Vá para a aba Proxy e certifique-se de que o botão Interceptar esteja ativado (luz vermelha).

Agora detalhe as ações em seu navegador que você deseja analisar, como navegar em um site ou executar uma ação em um aplicativo da web. O Burp Suite interceptará o tráfego e exibirá solicitações e respostas HTTP/HTTPS na guia Proxy em tempo real. Concluídas as etapas anteriores, temos nosso ambiente preparado para prosseguir com nosso exemplo.

A seguir, utilizaremos o site de teste http://testphp.vulnweb.com/, para então interceptar o tráfego desse site.

Como você pode ver na imagem, apenas abrindo a página principal do site em teste, o Burp Suite exibe automaticamente um sitemap (lista de diretórios contendo um site) do site. Isto é uma vantagem porque facilita a detecção imediata de alguns diretórios confidenciais.

Por exemplo, no meu estágio me deparei com alguns sites que contêm dados confidenciais em alguns diretórios ou arquivos de configuração de servidores que são muito comuns. Isso é um problema, pois deixar alguns diretórios habilitados sem algum tipo de autenticação pode ser muito prejudicial ao dono do site ou a uma empresa.

Outro exemplo que mostrarei a seguir é como interceptar e modificar a solicitação feita a um site, antes que ela chegue ao servidor.

Temos essa janela de login no site de teste e o que quero fazer é interceptar as credenciais e depois modificá-las. Um exemplo mais claro é o seguinte:

Para entender um pouco o que aconteceu, vou dar uma breve explicação. Basicamente, ao preencher os campos obrigatórios e clicar no botão de login, o tráfego é automaticamente interceptado e a página entra em modo standby. Isso permite que a solicitação seja modificada antes de chegar ao servidor de destino.

Como já sabemos, esta página é apenas para fins de teste. Portanto, o nome de usuário e a senha padrão são test/test. Agora modificamos nossa solicitação e enviamos as credenciais corretas.

Ao fazer isso, notamos que efetuamos login com sucesso por meio de solicitações de modificação.

Deve-se destacar que existem muitas opções para usar no Burp Suite, e podemos até automatizar as anteriores através do Repeater para simular algo semelhante a um ataque de força bruta. Infelizmente, na versão gratuita desta ferramenta existem muitas limitações, mas ela pode ser de grande ajuda se você estiver aprendendo sobre Web Pentesting.

Dicas

• Habilite e desabilite seletivamente a interceptação para evitar interrupções constantes.
• Modifique e encaminhe solicitações para testar diferentes entradas e respostas do aplicativo web.
• Explore regras avançadas de interceptação para automatizar ações personalizadas.
• Preste atenção aos cookies e às sessões da web ao modificar solicitações para simular diferentes estados de sessão.
  

Lembre-se de que você deve usar o Burp Suite de forma ética e obter a permissão apropriada antes de fazer alterações nas solicitações, especialmente em ambientes de aplicativos da web que não pertencem a você.

Conclusão

Pessoalmente, tive a oportunidade de usar o Burp Suite em vários projetos de segurança e sempre fiquei impressionado com seu poder e facilidade de uso. A capacidade de identificar vulnerabilidades, analisar tráfego e colaborar com outros profissionais de segurança em tempo real torna-o uma ferramenta incomparável. O Burp Suite não apenas simplifica e agiliza a avaliação de segurança em aplicações web, mas também oferece um nível de confiança e controle que é essencial em nossa área.

Sendo uma ferramenta multifuncional altamente eficaz, o Burp Suite se destaca como uma escolha inteligente para qualquer pessoa comprometida com a segurança online.