Burp Suite 2.0 beta ist jetzt für professionelle Benutzer verfügbar.

Dies ist ein bedeutendes Upgrade mit vielen neuen Funktionen, darunter:

Ein neuer Crawler, der Sitzungen automatisch verarbeiten kann, Änderungen am Anwendungszustand erkennt, mehrere Login-Erfassungen durchführt und volatile Inhalte verarbeitet.
Eine neue Scan-Engine mit automatischer Sitzungsverarbeitung, mehreren Scan-Phasen, verbesserter Erkennung gespeicherter Eingaben, Integration passiver Probleme im laufenden Betrieb, effizienter Behandlung häufig auftretender Insertion Points und elegantem Umgang mit Anwendungsfehlern.
Ein neuer dynamischer JavaScript-Analysator, der die Erkennung DOM-basierter Schwachstellen deutlich verbessert.
Ein neues Dashboard zur Überwachung und Steuerung automatisierter Aktivitäten.
Ein neuer Scan-Launcher sowie die Möglichkeit, mehrere parallele Scans auszuführen.
Eine komplett neue Live-Scan-Funktion.
Verbessertes Systemressourcen-Management durch eine zentrale Task-Ausführungs-Engine.
Eine neue Konfigurationsbibliothek zum Speichern nützlicher Einstellungen.
Eine neue REST-API für die Integration mit anderen Tools.
Ein neuer Response-Renderer, der wie jeder moderne Browser funktioniert.

>>>  md5sum burpsuite_pro_v2.0beta.jar
f7bc22d1ba9c1fda2857b732201c8097  burpsuite_pro_v2.0beta.jar

>>>  sha1sum burpsuite_pro_v2.0beta.jar
54639939a119b8bbe0c9181005f280fc5190e133  burpsuite_pro_v2.0beta.jar

>>>  sha256sum burpsuite_pro_v2.0beta.jar
b260ac99620be4e19090c6a1eac056dc76b558e6bbc6d27d571056eebf959c47  burpsuite_pro_v2.0beta.jar

remote: error: File burpsuite_pro_v2.0.01beta.jar is 190.48 MB; this exceeds GitHub's file size limit of 100.00 MB
remote: error: File burpsuite_pro_v2.0beta.jar is 190.19 MB; this exceeds GitHub's file size limit of 100.00 MB

Diese Version fügt einige leistungsstarke neue Scanner-Checks hinzu, basierend auf dem heutigen Vortrag von James Kettle auf der Black Hat.

Burp Scanner kann nun zwei neue Schwachstellen erkennen: "Web-Cache-Poisoning" und "Request-URL-Override"

>md5sum burpsuite_pro_v1.7.37.jar
0350199495f1d026363980b581b4aeb9 *burpsuite_pro_v1.7.37.jar

>sha1sum burpsuite_pro_v1.7.37.jar
b6c649adc7275b63d2bc64e1b0e9c788c0c904ce *burpsuite_pro_v1.7.37.jar

>sha256sum burpsuite_pro_v1.7.37.jar
490c1b2abfe7f85e4eb62659b2e4be2a8d894d095a69d91fe4ee129ef6f8e68b *burpsuite_pro_v1.7.37.jar

Diese Version behebt eine Reihe von Problemen, darunter:
1. Ein Fehler, der den Makro-Editor daran hinderte, den Proxy-Verlauf korrekt anzuzeigen.
2. Ein Fehler in der Erweiterungs-UI, bei dem die Schaltfläche zum Entfernen der Erweiterungsausgabe aus der Anzeige nicht ordnungsgemäß funktionierte.
3. Ein Problem mit übermäßigem Speicherverbrauch beim Herunterladen von Updates. Die Größe der Burp-Distribution wird bald zunehmen,
um viele aufregende neue Funktionen zu unterstützen. Es wird empfohlen, diesen Fix anzuwenden, bevor dies geschieht.

> md5sum burpsuite_pro_v1.7.36.jar
ee45c40496a5ff427126a82e46465be2 *burpsuite_pro_v1.7.36.jar

> sha1sum burpsuite_pro_v1.7.36.jar
110d3021230c89a707cad686f8188ac3943220fc *burpsuite_pro_v1.7.36.jar

> sha256sum burpsuite_pro_v1.7.36.jar
3324d521e060dcb05697b65f689ef21c54abb90448aed5e8257cdefd3e469ce8 *burpsuite_pro_v1.7.36.jar

Einige Fehler wurden behoben:

Ein Fehler, der Burp daran hinderte, beim Polling über HTTPS den Common Name des Zertifikats des Collaborator-Servers zu validieren. Die Auswirkung dieses Fehlers: Wenn ein Angreifer innerhalb des Netzwerks, in dem der Collaborator-Server gehostet wird, einen aktiven MITM-Angriff durchführt, kann er die Interaktionsdaten dem Polling-Client zuordnen. Dies reicht in der Regel nicht aus, um konkrete Schwachstellen abzuleiten. (Hinweis: Für Angreifer im selben Netzwerk wie der Burp-Benutzer ist die Auswirkung geringer, da der Angreifer den gesamten Datenverkehr der Anwendung einsehen und Anfragen den entsprechenden Collaborator-Interaktionen zuordnen kann.)

Ein Fehler, der beim Folgen von Weiterleitungen dazu führen konnte, dass Anmeldedaten für die HTTP-Basisauthentifizierung an eine andere Domain weitergegeben wurden. Die Auswirkung dieses Fehlers: Wenn ein Benutzer für Domain A eine HTTP-Basisauthentifizierung konfiguriert, einen Scan von Domain A ausführt, Domain A zu Domain B weiterleitet und der Benutzer Domain B in seinen Zielbereich aufgenommen hat, werden die Anmeldedaten offengelegt. Dieselbe Offenlegung kann bei manueller Arbeit auftreten, wenn der Benutzer mit Burp Repeater manuell auf eine bösartige Domain weitergeleitet wird.

Ein Fehler, der es einem aktiven MITM-Angreifer ermöglichen konnte, Textinhalte im BApp-Store-Tab und im Update-Dialog zu fälschen. Beachten Sie, dass Code-Signierung verhindert, dass MITM-Angreifer die tatsächliche Installation von BApps oder Updates manipulieren.

Einige Fehler in der Projekt-Reparaturfunktion von Burp führten dazu, dass eigentlich wiederherstellbare Daten verloren gingen.

Ein Fehler, der verhinderte, dass das Autovervollständigungs-Popup unter bestimmten Linux-Fenstermanagern geschlossen wurde.

Ein Fehler, der dazu führte, dass temporäre Projekte in derselben Burp-Sitzung mehr als einmal als plattenbasierte Projekte gespeichert wurden.

Ein Fehler, der verhinderte, dass App Nap unter macOS deaktiviert wurde, mit dem Ergebnis, dass automatisierte Aktivitäten verlangsamt wurden, während Burp im Hintergrund lief.

Ein Fehler, der dazu führte, dass der Proxy Anfragen, die in der Domain der angefragten URL wörtliche IPv6-Adressen verwenden, nicht korrekt verarbeiten konnte.

Die folgenden Verbesserungen wurden vorgenommen:

Burp ClickBandit wurde aktualisiert, um Sandbox-Iframes zu unterstützen.

Nach den Änderungen in JRuby 9.2.0.0 wurde ein Fix angewendet, der verhinderte, dass Burp-Erweiterungen in Ruby ausgeführt werden konnten.


> md5sum burpsuite_pro_v1.7.34.jar
e9917ab71a3581782f5912ec2c2d0def *burpsuite_pro_v1.7.34.jar

> sha1sum burpsuite_pro_v1.7.34.jar
6c52802e0472c4c75ef1d976c20fda6d47e28868 *burpsuite_pro_v1.7.34.jar

> sha256sum  burpsuite_pro_v1.7.34.jar
8f556f27cca14fbde5781fbaea5a962fdecb9aba91d6fcb8dd5b42a961d299ed *burpsuite_pro_v1.7.34.jar

Zur Unterstützung der neuen Projekt-Reparaturfunktion wurden Änderungen am Projektdateiformat von Burp vorgenommen. Die neue Version ist abwärtskompatibel mit Projektdateien aller früheren Versionen, aber mit der neuen Version erstellte Projektdateien können nicht mit älteren Burp-Versionen geöffnet werden.

1. Einige Fehler in der Makro-Konfiguration, bei denen einige Cookie-Behandlungseinstellungen beim Ausführen von Burp möglicherweise nicht korrekt gespeichert werden konnten.
2. Einige kleinere Fehler in der kürzlich veröffentlichten automatischen Projekt-Backup-Funktion.
3. Ein Fehler, bei dem Erweiterungen weiterhin API-Zugriff auf den Burp-Collaborator-Client erhalten konnten, selbst wenn der Benutzer Collaborator deaktiviert hatte.

> md5sum burpsuite_pro_1.7.33.jar
cb6e5a00979463a2be634b6d5388bc49 *burpsuite_pro_1.7.33.jar

> sha1sum burpsuite_pro_1.7.33.jar
4ce0e13f73a981ba3090f58c3aed9763432651ea *burpsuite_pro_1.7.33.jar

> sha256sum burpsuite_pro_1.7.33.jar
44bb6811f838aa6e3a47b0dc0d4ef5f7fbddc031ca5efe2d8bb5f24eb105dc12 *burpsuite_pro_1.7.33.jar

> sha256sum burpsuite_pro_v1.7.32.jar
49c719e86611ccfdcda8cd23fac8edb236369dd8d0e7133068eaf40315e52206 *burpsuite_pro_v1.7.32.jar

C:\Users\CTF\Desktop
> sha1sum burpsuite_pro_v1.7.32.jar
c6cd0bbe402b75f4806d76a04d251474308415b8 *burpsuite_pro_v1.7.32.jar

C:\Users\CTF\Desktop
> md5sum burpsuite_pro_v1.7.32.jar
d4d43e44769b121cfd930a13a2b06b4c *burpsuite_pro_v1.7.32.jar

      java -jar burp-loader-keygen.jar

      -classpath <Pfad>            Gibt an, wo Benutzerklassendateien und Annotation-Prozessoren zu finden sind
      
      -d <Verzeichnis>             Gibt an, wohin die generierten Klassendateien abgelegt werden
      
      cd  burp-loader-keygen.jar.src
      
      javac -classpath burp-loader-keygen.jar -d . enjoy/reversing/me/KeygenDialog.java

      a4308cc872bac6980a2e4fc8b6abece78e21bc95  burpsuite_pro_v1.7.31.jar

      63ef57aa0fd7fdb6f6d2171cf946177c9c23b195  burp-loader-keygen.jar

      6530b29367de2b0fa42c411f94ae734d745443256431aee0fe221acb7a75c103  burp-loader-keygen.jar

      84bf3cbae91c621e4fb3c411409293e7759ba2b7ff3d2de4a1749383afcc6b90  burpsuite_pro_v1.7.31.jar

      f9214a26dae4236709435d337b5f90d26b089d54b3a0885895f412ce29214f66  burp-loader-keygen-jas502n.jar