BurpSuite-Team-Extension

Dieses Burpsuite-Plugin ermöglicht es mehreren Testern, Live-/Verlaufs-Proxy-Anfragen, Scope sowie Repeater-/Intruder-Payloads in Echtzeit miteinander zu teilen und ermöglicht so wirklich kollaborative Web-App-Tests. Wenn du mit dem Team-Server verbunden bist und dich in einem Team-Raum befindest, werden alle Anfragen, die über deinen Burp-Client eingehen, mit den anderen Testern im Raum geteilt – und umgekehrt!

Anfragen vom Client zum Ziel werden an andere Clients weitergegeben

Antworten vom Ziel an Clients werden an andere Clients weitergegeben

Funktionen

• Echtzeit-Anfrage/Antwort-Paare, die zwischen allen Clients geteilt werden

• Gegenseitige TLS-Verschlüsselung des gesamten Datenverkehrs zwischen Client und Server

• Getrennte Team-Räume, um mehrere Teams auf einem Server zu ermöglichen

• Einzelne Teammitglieder oder den gesamten Raum stummschalten

• Senden von Datenverkehr an den Raum pausieren

• Scope zwischen allen Clients in einem Raum synchronisieren

• Repeater-/Intruder-Payloads mit einzelnen Teammitgliedern oder dem gesamten Raum teilen

• Bestimmte Anfrage/Antwort-Paare mit einzelnen Teammitgliedern oder dem gesamten Raum teilen

• Teilbare Links zu Burp-Suite-Anfragen erstellen, die außerhalb von Burp Suite geteilt werden können

• Automatisches Teilen entdeckter Cookies

• Automatisches Teilen entdeckter passiver/aktiver Scan-Ergebnisse

• Konfigurieren, alle Anfragen oder nur In-Scope-Anfragen zu teilen

• Teilen/Empfangen von Cookies konfigurieren

• Teilen/Empfangen von Issues konfigurieren

• Verbindungseinstellungen speichern

Wie es funktioniert

Es gibt zwei Komponenten, die dieses kollaborative Web-App-Testen ermöglichen. Die erste ist offensichtlich ein Burpsuite-Plugin, das die APIs nutzt, um Anfrage/Antwort-Paare zu erfassen und zum Server zu transportieren sowie den Datenverkehr anderer Clients zu empfangen. Es ist die Haupt-Benutzeroberfläche, die Benutzer bei der Verwendung dieses Tools sehen. Die zweite ist ein leichtgewichtiger Server, der in GO geschrieben ist und die Verbindungen zwischen den Clients und den Räumen verwaltet.

So startest du den Server

Du kannst das vorgefertigte Linux-Binary vom GitHub-Release herunterladen.

Oder du kannst es manuell so bauen:

go get github.com/Static-Flow/BurpSuiteTeamServer/cmd/BurpSuiteTeamServer
cd ~/go/src/github.com/Static-Flow/BurpSuiteTeamServer/
go get ./...
go install ./...
~/go/bin/BurpSuiteTeamServer -h

So installierst du das Burpsuite-Plugin

Die JAR-Datei ist für dich vorgefertigt im Ordner build/jar enthalten. So verwendest du das vorgefertigte JAR:

1. Starte Burpsuite
2. Navigiere zum Tab Extender
3. Klicke auf Add und wähle die JAR-Datei aus dem Git-Repository aus
4. Ein neuer Burpsuite-Tab mit dem Titel „Burp TC" sollte erscheinen

So verwendest du die Burp-Team-Server-Funktionen

Server-Aktionen

Diese Aktionen können von einem Client ausgeführt werden, der mit einem Server verbunden ist

Mit dem Server verbinden

1. Navigiere zum Tab „Burp TC"
2. Gib einen gewählten Benutzernamen, die Server-IP-Adresse, den Port und das Server-Passwort ein (falls erforderlich)
3. Navigiere innerhalb des Tabs „Burp TC" zum Tab „Configuration"
4. Wähle mit der Dateiauswahl-Schaltfläche „Select Certificate" das Server-Zertifikat aus, das beim Start des Servers erzeugt wurde
5. Wähle mit der Dateiauswahl-Schaltfläche „Select Certificate Key" den Server-Zertifikatsschlüssel aus, der beim Start des Servers erzeugt wurde
6. Klicke auf die Schaltfläche „Connect"

Vom Server trennen

1. Klicke auf die Schaltfläche „Disconnect"

Einen neuen Raum erstellen

1. Klicke auf die Schaltfläche „New Room"
2. Gib einen Raumnamen ein
3. Falls gewünscht, gib ein Raum-Passwort ein
4. Klicke auf „Ok"

Einem Raum beitreten

1. Das mittlere rechte Panel zeigt die aktuellen Server-Räume oder „No rooms currently", falls keine vorhanden sind
2. Klicke mit der rechten Maustaste auf den gewünschten Raum und klicke auf „Join"
3. Falls ein Passwort erforderlich ist, erscheint eine Eingabeaufforderung; gib das Raum-Passwort ein

Raum-Aktionen

Diese Aktionen können von einem Client ausgeführt werden, der mit einem Server verbunden ist und einem Raum beigetreten ist

Einen Raum verlassen

1. Klicke auf die Schaltfläche „Leave Room"

Senden von Daten an den Server pausieren

1. Klicke auf die Schaltfläche „Pause"

Senden von Daten an den Server fortsetzen

1. Klicke auf die Schaltfläche „Unpause"

Einzelnes Teammitglied stummschalten

1. Das mittlere rechte Panel zeigt die aktuellen Raum-Mitglieder
2. Klicke mit der rechten Maustaste auf den gewünschten Raum und klicke auf „Mute"

Stummschaltung eines einzelnen Teammitglieds aufheben

1. Das mittlere rechte Panel zeigt die aktuellen Raum-Mitglieder
2. Klicke mit der rechten Maustaste auf den gewünschten Raum und klicke auf „Unmute"

Alle Teammitglieder stummschalten

1. Klicke auf die Schaltfläche „Mute All"

Stummschaltung aller Teammitglieder aufheben

1. Klicke auf die Schaltfläche „Unmute All"

Raum-Scope festlegen

(Dies kann nur von dem Client durchgeführt werden, der den Raum startet)

1. Verwende den Tab Target, um den Burpsuite-Scope nach Wunsch festzulegen
2. Klicke innerhalb des Tabs „Burp TC" auf die Schaltfläche „Set Room Scope"

Raum-Scope abrufen

2. Klicke auf die Schaltfläche „Get Room Scope"

Tool-Aktionen

Diese Aktionen gelten für Burpsuite-Tools außerhalb des Tabs „Burp TC"

Ein Repeater-Payload mit dem gesamten Team teilen

1. Klicke im Repeater-Tab im Request-Editor mit der rechten Maustaste und fahre mit der Maus über „Share Repeater Payload"
2. Wähle „To Group"

Ein Repeater-Payload mit einem Teammitglied teilen

1. Klicke im Repeater-Tab im Request-Editor mit der rechten Maustaste und fahre mit der Maus über „Share Repeater Payload"
2. Fahre mit der Maus über „To Teammate"
3. Wähle den Namen des gewünschten Teammitglieds

Ein Intruder-Payload mit dem gesamten Team teilen

1. Navigiere im Intruder-Tab zum Tab „Positions"
2. Klicke im Tab „Positions" im Request-Editor mit der rechten Maustaste und fahre mit der Maus über „Share Intruder Payload"
3. Wähle „To Group"

Ein Intruder-Payload mit einem Teammitglied teilen

1. Navigiere im Intruder-Tab zum Tab „Positions"
2. Klicke im Tab „Positions" im Request-Editor mit der rechten Maustaste und fahre mit der Maus über „Share Intruder Payload"
3. Fahre mit der Maus über „To Teammate"
4. Wähle den Namen des gewünschten Teammitglieds

Eine Proxy-Anfrage mit dem gesamten Team teilen

1. Navigiere im Target-Tab zum Tab „Site map"
2. Klicke im Tab „Site map" mit der rechten Maustaste auf den Eintrag, den du teilen möchtest, und fahre mit der Maus über „Share Request"
3. Wähle „To Group"

Eine Proxy-Anfrage mit einem Teammitglied teilen

1. Navigiere im Target-Tab zum Tab „Site map"
2. Klicke im Tab „Site map" mit der rechten Maustaste auf den Eintrag, den du teilen möchtest, und fahre mit der Maus über „Share Request"
3. Fahre mit der Maus über „To Teammate"
4. Wähle den Namen des gewünschten Teammitglieds