Webanwendungen analysieren und Sicherheitslücken schließen Burp Suite für Penetrations­tests nutzen

Anbieter zum Thema

Rittal GmbH & Co. KG

Data Center Group – Büro Köln

DeRZ - Deutsche Rechenzentren GmbH

Die Burp Suite bietet eine Plattform für die Sicherheitsanalyse von Webanwendungen. Anwender können tiefgehende Pentests durchführen, die von der Manipulation einzelner HTTP-Anfragen bis hin zur Automatisierung komplexer Authentifizierungs­prozesse reichen.

Die Open Source-Lösung Burp Suite gehört sicherlich zu den bekanntesten Lösungen, wenn es darum geht Sicherheitslücken in Webanwendungen durch Pentests zu finden. Da die Lösung mit der Burp Suite Community Edition auch auf Kali-Linux zur Verfügung steht, lässt sie sich relativ unkompliziert in Betrieb nehmen. Aber auch auf anderen Systemen reicht oft schon ein „sudo apt install burpsuite“. Die Fähigkeit, den Datenverkehr zu analysieren, zu modifizieren und zu überwachen, ermöglicht eine präzise Untersuchung potenzieller Sicherheitslücken mit der Burp Suite. Der Einsatz ist daher für Unternehmen, die Webanwendungen nutzen, sehr sinnvoll.

Bildergalerie

Bildergalerie mit 6 Bildern

Burp Suite starten und erste Tests durchführen

Der Start der Burp Suite erfolgt am Beispiel vom Einsatz mit Kali über die Programmgruppe „Web Application Analysis -> Burpsuite“. Danach wird ein neues Projekt angelegt. Nach der Auswahl von „Temporary project in memory“ kann entweder eine vorkonfigurierte Konfigurationsdatei eingelesen werden, oder es erfolgt die Auswahl von „Use Burp default“ und anschließend „Start Burp“. Wenn das Projekt gestartet ist, lassen sich in der Oberfläche Angriffe auf Webanwendungen durchführen und diese auf Sicherheitslücken hin testen.

Um einen Sicherheitstest im Netzwerk mit der Burp Suite durchzuführen, beginnt man mit dem Starten der Burp Suite. Hierbei wählt man ein neues oder vorhandenes Projekt aus und folgt den Anweisungen bis zur Hauptoberfläche. Als Nächstes konfiguriert man den Proxy-Listener, indem man zu "Proxy" > "Proxy settings" navigiert und sicherstellt, dass ein Listener auf 127.0.0.1:8080 aktiv ist, oder fügt bei Bedarf einen neuen hinzu.

Für die Analyse des HTTPS-Verkehrs ist es teilweise erforderlich, das CA-Zertifikat von Burp im Browser zu installieren. Um sicherzustellen, dass der gesamte Browser-Verkehr durch die Burp Suite geleitet wird, passt man die Proxy-Einstellungen des Browsers entsprechend an, indem man 127.0.0.1 und Port 8080 angibt. Wichtig ist, dass der Datenverkehr im Browser über die Proxy-Einstellungen zu Burp geschickt wird.

Anschließend definiert man den Umfang des Tests in der Burp Suite unter "Target" > "Scope settings", indem man "Add to scope" auswählt und die Adresse der Webanwendungen hinzufügt. Mit aktiviertem "Intercept" unter "Proxy" > "Intercept" beginnt die Erfassung des Datenverkehrs, sobald man die Webseite im Browser besucht. Jede Anfrage und Antwort lässt sich im "HTTP history"-Tab unter "Proxy" analysieren.

Für eine tiefergehende Untersuchung wählt man relevante Anfragen aus der Historie aus, sendet diese an "Intruder" und konfiguriert dort Angriffspositionen und Payloads, um verschiedene Sicherheitslücken wie SQL-Injection oder XSS zu simulieren. Zusätzlich führt man passive und aktive Scans durch, indem man die Ziel-URL an den Scanner sendet und die Scan-Ergebnisse im "Dashboard"-Tab überwacht.

Burp Suite kann auch fortgeschrittene Techniken für Pentests nutzen

Fortgeschrittene Techniken wie die Anpassung des Proxy-Listeners, die Konfiguration von Target Scopes und die Nutzung des Sequencers zur Analyse von Sitzungs-Tokens erweitern das Spektrum der Sicherheitstests erheblich. Die Integration des Burp Collaborators eröffnet zusätzliche Möglichkeiten für Tests externer Interaktionen, während die Performance-Optimierung sicherstellt, dass auch umfangreiche Analysen effizient durchgeführt werden können.

Um komplexe Authentifizierungsmechanismen zu testen, bietet die Burp Suite Werkzeuge zur Automatisierung von Anmeldevorgängen. Interessant sind hier die Session-Handling-Regeln. Durch das Hinzufügen einer neuen Regel und Konfigurieren der Details können Admins automatisierte Login-Sequenzen erstellen, die sicherstellen, dass die Burp Suite während der Tests angemeldet bleibt. Dies ist besonders nützlich bei Webanwendungen, die nach kurzer Inaktivität automatisch abmelden.

Die Funktion "Match and Replace" im "Proxy" > "Proxy settings"-Tab ermöglicht es, spezifische Teile des HTTP-Datenverkehrs automatisch zu erkennen und zu modifizieren. Admins fügen neue Regeln hinzu, indem sie auf "Add" klicken und Kriterien für das Suchen und Ersetzen definieren. Diese Funktion kann beispielsweise dazu verwendet werden, benutzerdefinierte Header zu jeder Anfrage hinzuzufügen oder spezifische Werte in Anfragen dynamisch zu ändern.

Bildergalerie

Bildergalerie mit 6 Bildern

Einsatz des Compare-Tools für differenzierte Analysen

Das "Compare"-Tool ermöglicht den direkten Vergleich von zwei Stücken von Daten, beispielsweise Anfragen, Antworten oder anderen Texten. Durch das Laden der zu vergleichenden Datenpunkte in die beiden Fenster des Tools lassen sich Unterschiede leicht erkennen. Diese Funktion ist besonders wertvoll, um die Effekte von Sicherheitstests zu analysieren oder die Konsistenz von Anwendungsausgaben zu überprüfen.

Der Burp Collaborator ist ein mächtiges Werkzeug für Tests, die externe Interaktionen erfordern, wie DNS-Abfragen oder SMTP-E-Mails im Rahmen von Sicherheitslücken wie Server Side Request Forgery (SSRF) oder Blind Injection-Angriffen. Dieser steht allerdings nur in der Pro-Edition der Burp Suite zur Verfügung.

Die Erweiterbarkeit durch den BApp Store und die Möglichkeit, eigene Tools über die Burp API zu entwickeln, heben die Flexibilität und Anpassungsfähigkeit der Burp Suite hervor. Dies erlaubt es Anwendern, die Funktionalität spezifisch auf ihre Bedürfnisse zuzuschneiden und die Effektivität ihrer Sicherheitstests zu maximieren.

(ID:49987333)