Tel un chapelet de délicieuses saucisses apéritifs, ici commence une série d’articles sur l’excellent outil Burp Suite. La première de ces saucisses est une introduction gustative, elle permettra à votre palais de s’épanouir tout à fait, préambule indispensable à l’appréciation des bouchées suivantes.

Ces entre-mets seront distribués avec parcimonie, ainsi qu’il est coutume afin de ne pas blaser le gourmet, ainsi la tradition de l’amuse gueule et du petit four sera sauve.

D’ailleurs savez-vous d’où vient ce nom de petit-four ? En réalité, c’est un terme du jargon pâtissier. Il vient de cette pratique culinaire et éco-responsable consistant à utiliser la chaleur résiduelle du four après cuisson d’un met volumineux pour cuire de plus petites œuvres gastronomiques…

Tools

Ce que l’on appelle tools dans Burp Suite, est représenté sous la forme d’onglets dans l’interface graphique du logiciel. Je vais m’évertuer à présenter chacun d’eux afin que vous puissiez suivre en toute quiétude les prochains articles un peu plus techniques et pratiques.

Target

L’onglet Target nous permet de visualiser l’intégralité des sites qui ont été visité par le biais du logiciel, ainsi que les sites en lien directe avec ces pages (référence ou objet distant). C’est depuis cet onglet que l’on va diriger certaines requêtes vers nos autres outils. Cet onglet nous permet également de retracer une communication et d’analyser les requêtes et les réponses.

Proxy

Cet onglet regroupe les fonctionnalités permettant à Burp Suite de s’établir comme proxy HTTP/HTTPS. En effet, les éléments que l’on retrouve dans l’onglet Target correspondent à la navigation d’un utilisateur ayant configuré l’adresse du serveur Burp Suite comme proxy HTTP/HTTPS.

Spider

Cet outil permet de découvrir très rapidement une large partie du contenu d’un site en automatisant la navigation et en analysant chaque page pour identifier les références à des ressources locales ou distantes.

Scanner

Cet outil est un scanner de vulnérabilité web à l’instar de Nikto, Arachni, Nessus, Skipfish…

Intruder

Cet outil est un fuzzer permettant d’envoyer très rapidement un grand nombre de requêtes forgées selon des règles prédéfinies. Le but est d’identifier certaines vulnérabilités en testant des patterns sensibles pour l’application ou en essayant des occurrences fréquemment responsables de comportements non prévus par les développeurs.

Malheureusement, les performances de la version gratuite sont… Mhhh, bridées…

Repeater

Cet outil permet de manipuler et d’envoyer une requête HTTP et de recevoir la réponse du serveur. C’est sans doute l’outil le plus utilisé.

Sequencer

Cet outil permet d’analyser le comportement d’un élément précis dans la réponse du serveur découlant d’une requête particulière en la testant un très grand nombre de fois. Quelques outils statistiques permettent de travailler sur la capture depuis Burp Suite, cependant l’export de ces données permet une étude plus poussée des valeurs ciblées.

Decoder

Dans l’onglet « Decoder », il est possible d’encoder, de décoder ou de hacher une chaine de caractères en différents formats.

Comparer

Burp Suite offre la possibilité de comparer deux objets similaires, tel que deux requêtes HTTP.

Options

Comme tout logiciel complexe, Burp Suite possède un panneau de configuration… Merci Captain Obvious !

Alerts

Burp Suite  enregistre tous les évènements ayant entraîné un comportement non voulu ou une erreur d’exécution d’un outil. Ces évènements sont consultables dans l’onglet « Alerts ».

Et la version Pro ?

La version pro offre un certain nombre de fonctionnalités supplémentaires très utile pour l’analyse d’une cible et en améliore d’autres. Jusque là rien de bien nouveau sous les tropiques, un formule classique des éditeurs de logiciels. Voilà ce qu’en dit la brochure…

L’utilisateur de la version Pro bénéficie du scanner de vulnérabilité (qui n’est pas disponible dans la version gratuite). Le fuzzer-brute-forcer-grille-pain-script-builder nommé « Intruder » est complètement débridé, accélérant sensiblement l’exécution d’une tâche dans cet outil.

La version Pro permet également d’enregistrer et de restaurer l’espace de travail, alors que la version gratuite ne permet de sauvegarder que la configuration de l’outil.

On arrive au point qui fait cruellement défaut à la version gratuite, l’impossibilité de rechercher une information dans l’ensemble des requêtes enregistrées… Burp Suite Pro contient un moteur de recherche puissant permettant de trouver des éléments précis dans une masse de données, tel que les scripts, des commentaires, un mot clé quelconque ou des messages d’erreurs générés par l’application ciblée. Autant dire, une fonctionnalité indispensable.

Une fonctionnalité supplémentaire qui n’est pas accessible aux utilisateurs de la version gratuite est l’analyse automatique de la cible. Cet outil permet de récupérer de multiples informations sur les liens dynamiques et statiques, ainsi que sur les paramètres de ces différentes adresses. Les données sont ensuite corrélées pour créer des connexions logiques entre ces différentes informations.

Un autre avantage réservé à la version Pro est un web crawler avancée permettant de découvrir du contenu qui n’est pas lié aux pages de la cible, car Burp suite Pro teste également les chemins plausibles sur un domaine…

Enfin la version payante permet de planifier l’exécution de certains outils à une date futur, ponctuellement ou périodiquement…

Il est indéniable, la version Pro n’est pas dénué d’intérêt ! Maintenant, à chacun de voir si 250€ par an est un prix acceptable pour profiter de Burp Suite à sa pleine puissance. Mais si vous escomptez d’utiliser ce sympathique proxy dans le seul but de résoudre les challenges de root-me.org ou ceux de newbiecontest.org, il est sans doute avisé de vous contenter de la version gratuite, et de compléter votre boîte à outils avec d’autres softs comme par exemple Zap Proxy…