Présentation
Dans cette deuxième partie de la série Burp Suite, vous apprendrez à utiliser le proxy Burp Suite pour collecter des données à partir des requêtes de votre navigateur. Vous découvrirez comment fonctionne un proxy d'interception et comment lire les données de requête et de réponse collectées par Burp Suite.
La troisième partie du guide vous guidera à travers un scénario réaliste de la façon dont vous utiliseriez les données collectées par le proxy pour un test réel.
Il existe d'autres outils intégrés à Burp Suite avec lesquels vous pouvez utiliser les données que vous collectez, mais ceux-ci seront couverts dans la quatrième et dernière partie de la série.
Intercepter le trafic
Le proxy de Burp Suite est ce qu'on appelle un proxy d'interception. Cela signifie que tout le trafic qui passe par le proxy a la possibilité d'être intercepté et transmis manuellement par l'utilisateur du proxy. Cela vous permet d'inspecter manuellement chaque demande et de choisir comment y réagir.
Cela peut être bon au cas par cas, mais cela peut aussi être très évident pour un utilisateur que quelque chose ne va pas si vous l'utilisez dans le cadre d'un véritable pentest professionnel.
Ainsi, si vous cherchez simplement à capturer une grande quantité de trafic à la fois et à le surveiller au fur et à mesure qu'il circule ou à le parcourir plus tard, vous pouvez désactiver la fonction d'interception du proxy et permettre au trafic de circuler librement.
Pour basculer l'interception, rendez-vous sur l'onglet "Proxy" sur la rangée supérieure d'onglets, puis sur l'onglet "Intercepter" sur la deuxième rangée. Par défaut, le troisième bouton devrait indiquer "L'interception est activée". Cliquez dessus pour activer et désactiver l'interception. Pour l'instant, laissez-le allumé.
Dans Firefox, accédez à votre site WordPress sur localhost . Vous devriez voir l'icône de "chargement" en rotation sur votre onglet et Firefox ne va nulle part. En effet, la requête adressée à votre serveur Web a été interceptée par le proxy de Burp.
Vérifiez votre fenêtre Burp Suite. Il y aura maintenant des données de demande dans votre onglet "Intercepter". Il s'agit des informations envoyées par le navigateur à votre serveur WordPress demandant la page vers laquelle vous avez navigué. Vous ne verrez aucun code HTML ou quoi que ce soit qui serait renvoyé par le serveur. Vous pouvez obtenir des données de réponse en vous rendant dans l'onglet "Options" sous "Proxy" et en cochant "Intercepter les réponses en fonction des règles suivantes" et "Ou la demande a été interceptée".
Dans tous les cas, vous pouvez jeter un œil aux nouveaux onglets sur l'écran "Intercepter". Raw, Params et Headers vous seront les plus utiles. Ils affichent tous essentiellement les mêmes données, mais le font dans des formats différents. Raw affiche la demande brute telle qu'elle a été envoyée. Params affiche tous les paramètres envoyés avec la demande. C'est souvent là que des informations utiles telles que les informations de connexion seront facilement trouvées. Les en-têtes n'afficheront que les en-têtes de requête. Ceci est utile lorsque la requête contient du code HTML.
Pour transmettre la demande au serveur, appuyez sur le bouton "Transférer". Si vous configurez Burp pour intercepter la réponse, vous verrez maintenant cela remplir votre écran. Sinon, les données disparaîtront lorsqu'elles seront envoyées au serveur.
Les données de réponse sont similaires, mais comportent de nouvelles sections, telles que "HTML". Celui-ci contient le code HTML brut tel qu'il a été envoyé depuis le serveur. Il devrait également y avoir un onglet appelé "Render". Burp peut essayer de rendre la réponse HTML, mais cela n'inclura pas CSS, JavaScript ou tout autre élément statique. Cette fonctionnalité est uniquement destinée à vous donner une idée rapide de la structure de la page renvoyée. Cliquez à nouveau sur "Suivant" pour envoyer la réponse à Firefox.
Trafic proxy
Désactivez l'interception. Pour cette partie suivante, surveillez simplement le trafic lorsqu'il passe par le proxy. Parcourez votre site WordPress factice. Si vous en avez besoin, trouvez du contenu absurde pour remplir le site, afin que vous puissiez voir à quoi cela ressemble pour voir un flux de trafic plus réaliste via Burp Suite.
Tout le trafic qui passe par le proxy de Burp Suite se trouve dans l'onglet "Historique HTTP" sous "Proxy". Par défaut, les demandes sont répertoriées par ordre croissant. Vous pouvez changer cela pour voir le dernier trafic en haut en cliquant sur le # en haut de la colonne d'ID de demande à l'extrême gauche du tableau.
Assurez-vous de passer du temps à cliquer sur votre site WordPress et à regarder Burp Suite comme vous le faites. Vous verrez la liste de votre historique HTTP se remplir rapidement. Ce qui peut surprendre, c'est le nombre de demandes collectées. Votre navigateur effectuera généralement plus d'une requête par clic. Ces demandes peuvent concerner des éléments de la page ou faire partie de redirections. En fonction des thèmes ou des polices que vous avez installés, vous pouvez même voir des demandes vers d'autres domaines. Dans un scénario réel, cela sera extrêmement courant, car la plupart des sites Web utilisent des ressources hébergées indépendamment et des réseaux de diffusion de contenu.
Consulter une demande
Choisissez une demande à examiner. Il est préférable que vous puissiez en trouver un avec un type de HTML MIME. Cela signifie qu'il s'agissait d'une demande pour l'une des pages du site Web et qu'elle contient du code HTML que vous pouvez consulter.
Lorsque vous en sélectionnez un pour la première fois, la demande s'affiche sous sa forme brute. La requête brute contiendra toutes les informations envoyées par Firefox au serveur. C'est exactement comme la demande que vous avez interceptée. Cette fois, vous le regardez après coup plutôt qu'en transit.
Vous pouvez certainement utiliser la demande brute pour extraire des informations clés, si vous êtes plus à l'aise, mais les onglets Params et Headers s'avéreront beaucoup plus simples à lire dans la plupart des cas. Jetez un œil aux paramètres. Celui-ci contiendra toutes les informations variables que le navigateur doit transmettre au navigateur. Dans le cas de nombreuses pages HTML de base, il ne contiendra probablement que des cookies. Lorsque vous décidez de soumettre un formulaire, les informations contenues dans le formulaire apparaîtront ici.
Les en-têtes contiennent des informations sur la requête elle-même, sa cible et votre navigateur. Les en-têtes préciseront si la requête était une requête GET ou POST. Ils vous diront également quel serveur ou site Web est contacté. La demande comprendra des informations sur le navigateur que le serveur doit utiliser et la langue dans laquelle il doit répondre. Il y a un certain chevauchement et vous verrez également des informations sur les cookies ici. Il peut également être utile de voir quelles informations ou quels types de fichiers le navigateur acceptera en retour du serveur. Ceux-ci sont répertoriés sous "Accepter".
Regarder la réponse
Cliquez sur l'onglet "Réponse". Tout cela est très similaire à la demande en termes de type d'informations disponibles. Tout comme la requête, la réponse brute est chargée d'informations dans un format assez désorganisé. Vous pouvez l'utiliser, mais il est préférable de le décomposer avec les autres onglets.
Au lieu de trouver des informations sur le navigateur dans les en-têtes, vous trouverez à la place des informations sur le serveur. Les en-têtes vous diront généralement quel type de réponse HTTP a été reçu du serveur. Vous trouverez également des informations sur le type de serveur Web en cours d'exécution et sur le langage principal qui alimente la page. Dans ce cas, c'est PHP.
L'onglet HTML contiendra le code HTML brut que le serveur a envoyé au navigateur pour afficher la page. Vous pouvez ou non trouver quelque chose d'intéressant ici, selon ce que vous recherchez. Ce n'est pas très différent de l'affichage de la source d'une page à partir de votre navigateur.
Réflexions finales
Très bien. Vous avez installé et configuré Burp Suite. Vous avez transmis des requêtes de Firefox par proxy et les avez interceptées. Vous avez également autorisé Burp Suite à collecter plusieurs demandes et à les évaluer pour obtenir des informations utiles.
Dans le prochain guide, vous allez l'utiliser pour collecter des informations pour une attaque par force brute sur la page de connexion de WordPress.