こんにちは。これって集約してるだけでは…VB6プログラマーの小川です。
さて今回はBurp Suiteをプロキシサーバとして設定し、HTTP通信を確認するところまで説明したいと思います。
はじめに
前回の手順で起動まで行います。
Burp Suite 1.7の使い方 その１
1.待ち受けポートの確認
1-1.[Proxy]→[Options]→[Proxy Listeners]確認します。
ここでBurpSuiteのProxyが待ち受けるポートを指摘できます。上記の例ではIPアドレス：127.0.0.1、ポート：8080で待ち受けていることが確認できます。
※以下のようなイメージになります。
Running がチェックされている場合は、Interfaceに記載されているIPアドレスとポートで動作しています。もしチェックが入っていない場合は、Burp Suiteを動作させている環境で、すでにListenerとして使用するためのIPアドレスとポートが他のプログラムに使用されているなどの理由（他のプロキシアプリや、TomcatなどAPサーバなど）で、うまく待ち受けられていない状態です。
左の「Add」ボタンを押下して表示される以下のダイアログより新しいリスナーを作ります。
[Bind to port]項目に「8081」など任意の値を入れて「OK」を押下します。
Runningにチェックが入るよう設定を見直します。
2.ブラウザの設定
Burp Suiteで待ち受けているリスナーに向けて通信を行うようブラウザを設定します。
以下、Firefoxの設定例です。
2-1.[設定]→[詳細]→[ネットワーク]の「接続設定…」ボタンを押下します。
2-2.設定画面より以下のように設定します。
IPアドレス：localhost(127.0.0.1)、ポート番号：8080でBurp SuiteのListeners設定する場合の例です。
※以下のようなイメージになります。
3.ブラウザからアクセス
設定が終わったらサイトにアクセスしてみます。
3-1.「https://techpjin.sakura.ne.jp/techpjin_new/」をアドレスバーに入力しアクセスします。
3-2.HTTPリクエストがBurp Suiteで止まります。
ここではまだサーバにHTTPリクエストが送信されていません。（ブラウザにもなにも表示されません。）
3-3.「Forward」を押下して、BurpSuiteからサーバに通信を送ります。
3-4.Burp Suiteから送信したHTTPリクエストがWebサーバに到達し、HTTPレスポンスがブラウザに返されコンテンツが表示されます。
この段階では画像やCSSなどを取得していないため表示が乱れます。
3-5.「Intercept is on」を押下して、Burp Suiteから全ての通信をサーバに通信を送ります。
3-6.全てのリクエストが送信されコンテンツが表示されます。
4.送信された通信の確認
4-1.[Proxy]→[HTTP history]のタブより送信された通信を確認することができます。
以上です。
Webアプリケーションの診断ではHTTP通信を確認・改変することで脆弱性を検出するため、プロキシツールを経由させて通信させることが基本となります。
次回は実際にパラメータを改変する際の方法を説明したいと思います。
