BurpSuite-Team-Extension
Этот плагин для Burp Suite позволяет нескольким тестировщикам обмениваться в реальном времени живыми/историческими прокси-запросами, областью сканирования (scope) и полезными нагрузками Repeater/Intruder, что делает возможным по-настоящему совместное тестирование веб-приложений. После подключения к Team Server и входа в командную комнату все запросы, проходящие через ваш Burp-клиент, передаются другим тестировщикам в комнате и наоборот!
Запрос от клиентов к цели передаётся другим клиентам
Ответ от цели клиентам передаётся другим клиентам
Возможности
-
Пары запрос/ответ передаются всем клиентам в реальном времени
-
Взаимное шифрование TLS всего трафика между клиентом и сервером
-
Отдельные командные комнаты для размещения нескольких команд на одном сервере
-
Заглушение отдельных участников команды или всей комнаты
-
Приостановка отправки трафика в комнату
-
Синхронизация области сканирования (scope) между всеми клиентами в комнате
-
Обмен полезными нагрузками Repeater/Intruder с отдельными участниками команды или всей комнатой
-
Обмен конкретными парами запрос/ответ с отдельными участниками команды или всей комнатой
-
Создание ссылок для общего доступа к запросам Burp Suite, которыми можно поделиться за пределами Burp Suite
-
Автоматический обмен обнаруженными Cookie
-
Автоматический обмен обнаруженными результатами пассивного/активного сканирования
-
Настройка общего доступа ко всем запросам или только к запросам в пределах области сканирования
-
Настройка отправки/получения Cookie
-
Настройка отправки/получения Issues
-
Сохранение параметров подключения
Как это работает
Совместное тестирование веб-приложений обеспечивается двумя компонентами. Первый — это, очевидно, плагин для Burp Suite, который использует API для перехвата пар запрос/ответ и их доставки на сервер, а также для получения трафика других клиентов. Он является основным интерфейсом, который пользователи видят при работе с этим инструментом. Второй — это лёгкий сервер, написанный на Go, который управляет подключениями между клиентами и комнатами.
Как запустить сервер
Вы можете загрузить готовый двоичный файл для Linux из Релиза на GitHub.
Или вы можете собрать его вручную следующим образом:
go get github.com/Static-Flow/BurpSuiteTeamServer/cmd/BurpSuiteTeamServer
cd ~/go/src/github.com/Static-Flow/BurpSuiteTeamServer/
go get ./...
go install ./...
~/go/bin/BurpSuiteTeamServer -h
Как установить плагин Burp Suite
Jar-файл уже собран для вас в папке build/jar. Чтобы использовать готовый jar-файл:
- Запустите Burp Suite
- Перейдите на вкладку Extender
- Нажмите Add и выберите jar-файл из Git-репозитория
- Должна появиться новая вкладка Burp Suite под названием "Burp TC"
Как использовать функции Burp Team Server
Действия сервера
Эти действия может выполнять клиент, подключившийся к серверу
Подключение к серверу
- Перейдите на вкладку "Burp TC"
- Введите выбранное имя пользователя, IP-адрес сервера, порт и пароль сервера (если требуется)
- Перейдите на вкладку "Configuration" внутри вкладки "Burp TC"
- С помощью кнопки выбора файла "Select Certificate" выберите сертификат сервера, созданный при запуске сервера
- С помощью кнопки выбора файла "Select Certificate Key" выберите ключ сертификата сервера, созданный при запуске сервера
- Нажмите кнопку "Connect"
Отключение от сервера
- Нажмите кнопку "Disconnect"
Создание новой комнаты
- Нажмите кнопку "New Room"
- Введите название комнаты
- При желании введите пароль комнаты
- Нажмите "Ok"
Вход в комнату
- На средней правой панели отображаются текущие комнаты сервера или сообщение "No rooms currently", если комнат нет
- Щёлкните правой кнопкой мыши по нужной комнате и нажмите "Join"
- Если требуется пароль, появится запрос — введите пароль комнаты
Действия в комнате
Эти действия может выполнять клиент, подключившийся к серверу и вошедший в комнату
Выход из комнаты
- Нажмите кнопку "Leave Room"
Приостановка отправки данных на сервер
- Нажмите кнопку "Pause"
Возобновление отправки данных на сервер
- Нажмите кнопку "Unpause"
Заглушение отдельного участника команды
- На средней правой панели отображаются текущие участники комнаты
- Щёлкните правой кнопкой мыши по нужной комнате и нажмите "Mute"
Снятие заглушения с отдельного участника команды
- На средней правой панели отображаются текущие участники комнаты
- Щёлкните правой кнопкой мыши по нужной комнате и нажмите "Unmute"
Заглушение всех участников команды
- Нажмите кнопку "Mute All"
Снятие заглушения со всех участников команды
- Нажмите кнопку "Unmute All"
Установка области сканирования комнаты
(Это может сделать только клиент, создавший комнату)
- Используйте вкладку Target, чтобы задать область сканирования Burp Suite по своему усмотрению
- На вкладке "Burp TC" нажмите кнопку "Set Room Scope"
Получение области сканирования комнаты
- Нажмите кнопку "Get Room Scope"
Действия с инструментами
Эти действия применяются к инструментам Burp Suite за пределами вкладки "Burp TC"
Отправка полезной нагрузки Repeater всей команде
- На вкладке Repeater щёлкните правой кнопкой мыши в редакторе запросов и наведите указатель на "Share Repeater Payload"
- Выберите "To Group"
Отправка полезной нагрузки Repeater участнику команды
- На вкладке Repeater щёлкните правой кнопкой мыши в редакторе запросов и наведите указатель на "Share Repeater Payload"
- Наведите указатель на "To Teammate"
- Выберите имя нужного участника команды
Отправка полезной нагрузки Intruder всей команде
- На вкладке Intruder перейдите на вкладку "Positions"
- На вкладке "Positions" щёлкните правой кнопкой мыши в редакторе запросов и наведите указатель на "Share Intruder Payload"
- Выберите "To Group"
Отправка полезной нагрузки Intruder участнику команды
- На вкладке Intruder перейдите на вкладку "Positions"
- На вкладке "Positions" щёлкните правой кнопкой мыши в редакторе запросов и наведите указатель на "Share Intruder Payload"
- Наведите указатель на "To Teammate"
- Выберите имя нужного участника команды
Отправка прокси-запроса всей команде
- На вкладке Target перейдите на вкладку "Site map"
- На вкладке "Site map" щёлкните правой кнопкой мыши по записи, которой хотите поделиться, и наведите указатель на "Share Request"
- Выберите "To Group"
Отправка прокси-запроса участнику команды
- На вкладке Target перейдите на вкладку "Site map"
- На вкладке "Site map" щёлкните правой кнопкой мыши по записи, которой хотите поделиться, и наведите указатель на "Share Request"
- Наведите указатель на "To Teammate"
- Выберите имя нужного участника команды
Пользовательские действия
Установка сертификата сервера
- Перейдите на вкладку "Configuration" во вкладке расширения "Burp TC"
- Нажмите кнопку "Select Cetificate"
- С помощью диалога выбора файла выберите файл "BurpServer.pem", сгенерированный сервером
Установка ключа сертификата сервера
- Перейдите на вкладку "Configuration" во вкладке расширения "Burp TC"
- Нажмите кнопку "Select Cetificate Key"
- С помощью диалога выбора файла выберите файл "BurpServer.key", сгенерированный сервером
static-flow/burpsuite-team-extension
