Burp`O`Mation

Realizando varredura automatizada usando Burp Suite Pro & Vmware Burp Rest API com Robot Framework usando Python3.

Blog

Visite o blog para explicação detalhada de cada passo.

• Blog de Explicação & Instalação

O que faz

• Execução com um clique usando bash instala todas as dependências com pré-requisitos detalhados.
• Usa python3 e robot framework que são fáceis de automatizar.
• Usa a API Rest do Burp Suite e executa o Burp Suite Professional (pré-ativado) em modo headless junto com várias extensões do Burp Suite como additional-scanner-checks, BurpJSLinkFinder e active-scan-plus-plus.
• Realiza automaticamente pentest de endpoint de API/Web incluindo adição e exclusão de escopo usando script robot.
• Envia automaticamente relatórios em CSV e HTML para o Google Drive no formato YYYY-MM-DD.
• Integração com Slack para alertas em tempo real.

Pré-requisitos (Pré-configuração).

• Execute isso antes de executar automation.sh
• SO Debian (Ubuntu).
• Burp Suite Pro ativado (burpsuite_pro_v2021.6.2.jar) com prefs.xml.
• API Rest do Vmware Burp Suite (Será instalada via script automatizado).
• Python3 e Pip (Serão instalados via script automatizado).
• Robot Framework (Será instalado via script automatizado).
• Atualize o escopo, webhook do Slack e ID da pasta pai do Google Drive no custom_lib_2.py.
• Configurando autenticação do Google Drive para PyDrive
• Envie as credenciais (client_secrets.json e mycreds.txt) para o repositório GitHub do script de automação.

Instalação

mkdir automation
cd automation
wget https://raw.githubusercontent.com/justmorpheus/burp-automation/master/automation.sh
chmod +x automation.sh
bash automation.sh https://github.com/justmorpheus/burp-automation.git

Uso

bash automation.sh https://github.com/justmorpheus/burp-automation.git

Em caso de falha Execute o seguinte comando dentro da pasta python3 -m robot -d output fuzzing.robot.

Nota

• Um grande agradecimento ao we45, por mostrar este trabalho incrível.
• Isto é para fins educacionais, pois o Burp Suite possui licença empresarial para execução em CI/CD.
• Não use isto em produção, é para aprendizado e compreensão da Automação do Burp Suite.
• Não use para fins ilegais. O autor não se responsabiliza por qualquer ação ilegal que você praticar.

Referência

• https://we45.com/blog/automating-burp-with-jenkins/
• https://burpsuite.guide/blog/activate-burpsuite-inside-docker-container/
• https://portswigger.net/burp
• https://github.com/vmware/burp-rest-api