Baixar Burp Suite: um guia completo para testes de segurança de aplicativos da Web
Se você é um desenvolvedor da Web, um testador de segurança da Web ou um entusiasta da Web, deve ter ouvido falar do Burp Suite. Mas o que é exatamente e como você pode baixá-lo e usá-lo para testes de segurança de aplicativos da web? Neste artigo, responderemos a essas perguntas e muito mais. Explicaremos o que é o Burp Suite, por que você precisa dele, como baixá-lo e instalá-lo em diferentes plataformas e como configurá-lo e usá-lo para testes de segurança de aplicativos da web.
O que é o Burp Suite e por que você precisa dele?
Burp Suite é um conjunto de ferramentas usadas para testes de penetração de aplicativos da web. Ele é desenvolvido pela empresa chamada PortSwigger, que também é o pseudônimo de seu fundador, Dafydd Stuttard. O Burp Suite visa ser um conjunto de ferramentas tudo-em-um e seus recursos podem ser aprimorados com a instalação de complementos chamados BApps.
download burp suite
O Burp Suite funciona como um proxy MITM (man-in-the-middle), permitindo que você intercepte, inspecione e manipule o tráfego bidirecionalmente. Ele vem equipado com um poderoso arsenal de ferramentas que você pode usar para identificar e explorar vulnerabilidades em aplicativos da web. Algumas das ferramentas incluídas no Burp Suite são:
Recursos e ferramentas do Burp Suite
Proxy: A principal ferramenta do Burp Suite que permite interceptar e modificar solicitações e respostas HTTP(s) e WebSocket entre seu navegador e o aplicativo de destino.
Scanner: Uma ferramenta automatizada que verifica aplicativos da Web em busca de vulnerabilidades comuns, como injeção de SQL, script entre sites, autenticação quebrada etc.
Intruso: Uma ferramenta que permite executar ataques personalizados em aplicativos da Web, enviando várias solicitações com diferentes cargas úteis e analisando as respostas.
Repetidor: Uma ferramenta que permite modificar manualmente e reenviar solicitações individuais e observar as respostas.
Sequenciador: Uma ferramenta que analisa a aleatoriedade dos tokens de sessão e outros itens de dados que devem ser imprevisíveis.
Decodificador: Uma ferramenta que permite decodificar ou codificar dados usando vários métodos, como Base64, codificação de URL, codificação hexadecimal, etc.
Comparador: Uma ferramenta que permite comparar dois dados (como solicitações, respostas ou logs) e destacar as diferenças.
Extensor: Uma ferramenta que permite estender a funcionalidade do Burp Suite carregando extensões personalizadas (BApps) escritas em Java, Python ou Ruby.
Colaborador: Uma ferramenta que permite realizar testes fora de banda (OAST) gerando cargas úteis exclusivas que podem ser usadas para detectar interações do lado do servidor com sistemas externos.
Edições e preços do Burp Suite
O Burp Suite vem em três edições: Community, Professional e Enterprise. A edição Community é gratuita, mas possui recursos e funcionalidades limitadas. A edição Professional é a mais popular entre os profissionais de segurança, pois oferece todos os recursos e ferramentas do Burp Suite. A edição Enterprise foi projetada para varredura da Web em larga escala e integração com pipelines de desenvolvimento. A tabela abaixo resume as principais diferenças entre as três edições:
Edição
Preço
Características
Comunidade
Livre
Funcionalidade limitada de proxy, scanner, intruso, repetidor, sequenciador, decodificador, comparador e extensor. Nenhum Colaborador.
Profissional
US$ 399/ano por usuário
Funcionalidade completa de todas as ferramentas e recursos do Burp Suite. Acesso ao servidor BApp Store e Burp Collaborator.
Empreendimento
US$ 3.999/ano por agente
Varredura da Web escalável com vários agentes. Integração com pipelines de CI/CD e rastreadores de problemas. Painel e relatórios baseados na Web.
Como baixar e instalar o Burp Suite em diferentes plataformas
O Burp Suite está disponível para download no site do PortSwigger. Você pode escolher a edição e a plataforma que atendem às suas necessidades. O Burp Suite oferece suporte aos sistemas operacionais Windows, Linux e Mac OS.O processo de instalação é diferente para cada plataforma, por isso explicaremos passo a passo abaixo.
Baixando o Burp Suite do site PortSwigger
Para baixar o Burp Suite do site PortSwigger, você precisa seguir estas etapas:
Vou ao e clique no botão "Download" no canto superior direito.
Selecione a edição (Community, Professional ou Enterprise) que deseja baixar. Se você escolher a edição Professional ou Enterprise, precisará fornecer sua chave de licença ou entrar com sua conta.
Selecione a plataforma (Windows, Linux ou Mac OS) que você deseja baixar. Você verá uma lista de downloads disponíveis para essa plataforma. Você pode escolher entre um arquivo executável autônomo (.exe para Windows, .sh para Linux ou .dmg para Mac OS) ou um arquivo executável Java (.jar) que requer o Java Runtime Environment (JRE) para ser executado.
Clique no botão "Download" ao lado do arquivo que você deseja baixar. O arquivo será baixado para o local de download padrão.
Instalando o Burp Suite no Windows
Para instalar o Burp Suite no Windows, você precisa seguir estas etapas:
Se você baixou o arquivo executável autônomo (.exe), clique duas vezes nele para iniciar o instalador. Se você baixou o arquivo executável Java (.jar), verifique se o JRE está instalado em seu sistema e clique duas vezes nele para iniciar o Burp Suite.
Se você iniciou o instalador, siga as instruções na tela para concluir a instalação. Você pode escolher a pasta de destino e criar atalhos para o Burp Suite.
Se você iniciou o Burp Suite diretamente do arquivo executável Java (.jar), verá uma tela inicial e, em seguida, a interface principal do Burp Suite.
Você instalou com sucesso o Burp Suite no Windows.
Instalando o Burp Suite no Linux
Para instalar o Burp Suite no Linux, você precisa seguir estas etapas:
Se você baixou o arquivo executável autônomo (.sh), certifique-se de que ele tenha permissões executáveis executando o comando chmod +x burpsuite_*.sh em uma janela de terminal. Se você baixou o arquivo executável Java (.jar), certifique-se de ter o JRE instalado em seu sistema.
Se você tiver o arquivo executável autônomo (.sh), execute-o digitando ./burpsuite_*.sh em uma janela de terminal. Se você tiver o arquivo executável Java (.jar), execute-o digitando java -jar burpsuite_*.jar em uma janela de terminal.
Você verá uma tela inicial e, em seguida, a interface principal do Burp Suite.
Você instalou com sucesso o Burp Suite no Linux.
Instalando o Burp Suite no Mac OS
Para instalar o Burp Suite no Mac OS, você precisa seguir estas etapas:
Se você baixou o arquivo executável autônomo (.dmg), clique duas vezes nele para montá-lo como uma imagem de disco. Se você baixou o arquivo executável Java (.jar), certifique-se de ter o JRE instalado em seu sistema.
Se você montou a imagem do disco, arraste e solte o ícone do Burp Suite na pasta Aplicativos. Se você tiver o arquivo executável Java (.jar), clique duas vezes nele para iniciar o Burp Suite.
Você verá uma tela inicial e, em seguida, a interface principal do Burp Suite.
Você instalou com sucesso o Burp Suite no Mac OS.
Como configurar e usar o Burp Suite para testes de segurança de aplicativos da web
Agora que você baixou e instalou o Burp Suite em sua plataforma, está pronto para usá-lo para testes de segurança de aplicativos da web. Mas antes de começar a testar, você precisa configurar o Burp Suite corretamente e configurar seu navegador para usá-lo como um proxy. Dessa forma, você pode interceptar e manipular o tráfego entre seu navegador e o aplicativo da Web de destino. Você também precisa se familiarizar com a interface e as ferramentas do Burp Suite e aprender a realizar tarefas básicas com elas. Nesta seção, nós o guiaremos por essas etapas.
Configurando seu navegador para usar o Burp Suite como um proxy
O primeiro passo para usar o Burp Suite é configurar seu navegador para usá-lo como um proxy. Isso permitirá que o Burp Suite intercepte e modifique as solicitações e respostas que seu navegador envia e recebe do aplicativo da web de destino.Você pode usar qualquer navegador que suporte configurações de proxy, como Firefox, Chrome, Safari, etc. As configurações de proxy geralmente são encontradas nas preferências ou no menu de opções do navegador. Os detalhes do proxy que você precisa inserir são:
Tipo de proxy: HTTP ou HTTPS
Host do proxy: 127.0.0.1 (este é o endereço de loopback da sua própria máquina)
Porta proxy: 8080 (esta é a porta padrão que o Burp Suite escuta)
Por exemplo, se você estiver usando o Firefox, poderá definir as configurações de proxy seguindo estas etapas:
Abra o Firefox e clique no botão de menu (três barras horizontais) no canto superior direito.
Selecione "Preferências" no menu.
Role para baixo até a seção "Configurações de rede" e clique no botão "Configurações".
Selecione "Manual proxy configuration" e digite 127.0.0.1 como o proxy HTTP e 8080 como a porta.
Marque a caixa que diz "Usar este servidor proxy para todos os protocolos".
Clique em "OK" para salvar as configurações.
Você pode verificar se seu navegador está usando o Burp Suite como proxy visitando qualquer site e verificando se a solicitação e a resposta aparecem na ferramenta Proxy do Burp Suite.
Explorando a interface e as ferramentas do Burp Suite
O próximo passo para usar o Burp Suite é explorar sua interface e ferramentas. A interface principal do Burp Suite consiste em uma barra de menu, uma barra de ferramentas, uma barra de guias e um painel principal. A barra de menu contém várias opções para configurar e controlar o Burp Suite. A barra de ferramentas contém botões para iniciar e acessar diferentes ferramentas do Burp Suite. A barra de guias contém guias para alternar entre diferentes ferramentas do Burp Suite. O painel principal exibe o conteúdo e a funcionalidade da ferramenta selecionada.
As ferramentas do Burp Suite são organizadas em quatro categorias: Proxy, Scanner, Intruder e Repeater. Cada categoria tem uma guia correspondente na barra de guias. Você pode clicar em qualquer guia para acessar as ferramentas dessa categoria. Você também pode iniciar qualquer ferramenta na barra de ferramentas ou na barra de menus.Algumas ferramentas possuem subferramentas que podem ser acessadas em suas próprias guias ou botões no painel principal da ferramenta.
A tabela a seguir resume as principais ferramentas do Burp Suite e suas funções:
Categoria
Ferramenta
Função
Proxy
Interceptar
Permite interceptar e modificar solicitações e respostas HTTP(s) e WebSocket entre seu navegador e o aplicativo de destino.
Histórico de HTTP
Mostra um histórico de todas as solicitações e respostas HTTP(s) que passaram pelo Burp Suite.
scanner
Fila de verificação
Mostra o status e o progresso das verificações ativas e em fila.
Emitir atividade
Mostra um histórico de todos os problemas identificados pelo Scanner.
Intruso
Posições
Permite definir as posições onde deseja inserir payloads nas requisições.
Resultados
Mostra os resultados dos ataques, incluindo solicitações, respostas e várias métricas.
Repetidor
Solicitar
Permite modificar manualmente e reenviar solicitações individuais.
Resposta
Mostra a resposta recebida do servidor para a solicitação.
Executando tarefas básicas com as ferramentas Burp Suite
A etapa final para usar o Burp Suite é realizar algumas tarefas básicas com suas ferramentas. Essas tarefas ajudarão você a se familiarizar com a funcionalidade e o fluxo de trabalho do Burp Suite. Você também pode usar essas tarefas como ponto de partida para testes e análises mais avançados. Aqui estão alguns exemplos de tarefas básicas que você pode executar com as ferramentas do Burp Suite:
Interceptando e modificando uma requisição com Proxy: Para interceptar e modificar uma solicitação com Proxy, você precisa habilitar o modo Intercept clicando no botão "Intercept is off" na ferramenta Intercept. Em seguida, visite qualquer site do seu navegador e você verá a solicitação aparecer na ferramenta Intercept. Você pode modificar qualquer parte da solicitação, como método, URL, cabeçalhos ou corpo. Você também pode usar várias opções do menu de contexto, como enviar a solicitação para outras ferramentas, alterar a codificação, adicionar comentários etc.Quando terminar de modificar a solicitação, você pode encaminhá-la para o servidor clicando no botão "Avançar" ou soltá-la clicando no botão "Drop".
Verificando um aplicativo da Web em busca de vulnerabilidades com o Scanner: Para varrer um aplicativo da web em busca de vulnerabilidades com o Scanner, você precisa enviar as solicitações que deseja varrer para a ferramenta Scanner. Você pode fazer isso usando várias opções do menu de contexto de outras ferramentas, como Proxy, Repeater ou Intruder. Por exemplo, você pode clicar com o botão direito do mouse em qualquer solicitação na ferramenta de histórico HTTP e selecionar "Enviar para Scanner". Você verá a solicitação aparecer na ferramenta de fila de verificação. Você também pode configurar várias opções de digitalização, como escopo, velocidade, precisão, etc. clicando no botão "Scan" na barra de menu. O Scanner verificará automaticamente as solicitações em busca de vulnerabilidades comuns e relatará quaisquer problemas que encontrar na ferramenta de atividade de problemas. Você pode visualizar os detalhes de cada problema, como nome, gravidade, descrição, evidências etc. clicando nele.
Executando um ataque personalizado em um aplicativo da Web com o Intruder: Para executar um ataque personalizado em um aplicativo da Web com o Intruder, você precisa enviar uma solicitação de base que deseja usar para o ataque à ferramenta Intruder. Você pode fazer isso usando várias opções do menu de contexto de outras ferramentas, como Proxy, Repetidor ou Scanner. Por exemplo, você pode clicar com o botão direito do mouse em qualquer solicitação na ferramenta de histórico HTTP e selecionar "Enviar para o intruso". Você verá a solicitação aparecer na ferramenta Posições. Você pode então definir as posições onde deseja inserir cargas úteis na solicitação, selecionando-as e clicando no botão "Adicionar ". Você também pode escolher entre diferentes tipos de ataque, como Sniper, Battering ram, Pitchfork ou Cluster bomb. Em seguida, você precisa configurar suas cargas clicando na guia "Payloads". Você pode escolher entre diferentes tipos de carga útil, como números, datas, listas, força bruta, etc.Você também pode carregar cargas personalizadas de arquivos ou gerá-las usando várias opções. Por fim, você precisa iniciar o ataque clicando no botão "Iniciar ataque" na barra de menus. Você verá os resultados do ataque na ferramenta Resultados. Você pode visualizar e modificar as solicitações, respostas e várias métricas de cada ataque clicando nelas.
Reenviando e analisando uma requisição com Repetidor: Para reenviar e analisar uma solicitação com o Repetidor, você precisa enviar a solicitação que deseja usar para análise para a ferramenta Repetidor. Você pode fazer isso usando várias opções do menu de contexto de outras ferramentas, como Proxy, Intruder ou Scanner. Por exemplo, você pode clicar com o botão direito do mouse em qualquer solicitação na ferramenta de histórico HTTP e selecionar "Enviar para repetidor". Você verá a solicitação aparecer na ferramenta Solicitação. Você pode modificar qualquer parte da solicitação, como método, URL, cabeçalhos ou corpo. Você também pode usar várias opções do menu de contexto, como alterar a codificação, adicionar comentários, enviar a solicitação para outras ferramentas etc. Quando estiver pronto para reenviar a solicitação, clique no botão "Ir" ou pressione Ctrl+Enter. Você verá a resposta recebida do servidor na ferramenta Response. Você pode visualizar e analisar a resposta usando várias opções do menu de contexto, como decodificação, comparação, realce, etc.
Conclusão e perguntas frequentes
Conclusão
Neste artigo, aprendemos como baixar e instalar o Burp Suite em diferentes plataformas, como configurar seu navegador para usar o Burp Suite como proxy, como explorar a interface e as ferramentas do Burp Suite e como realizar algumas tarefas básicas com as ferramentas do Burp Suite. Também vimos alguns exemplos de como o Burp Suite pode ajudá-lo a identificar e explorar vulnerabilidades em aplicativos da web. O Burp Suite é um conjunto poderoso e versátil de ferramentas que podem ajudá-lo no teste de segurança de aplicativos da web. No entanto, não é uma bala mágica que pode fazer tudo por você.Você ainda precisa ter um bom entendimento dos conceitos e técnicas de segurança de aplicativos da Web e usar suas próprias habilidades e criatividade para encontrar e explorar vulnerabilidades. O Burp Suite é uma ferramenta que pode aprimorar seus recursos de teste de segurança de aplicativos da Web, mas não é um substituto para eles.
perguntas frequentes
Aqui estão algumas perguntas frequentes sobre o Burp Suite:
P: Como posso obter uma chave de licença para a edição Burp Suite Professional ou Enterprise?
R: Você pode obter uma chave de licença para a edição Burp Suite Professional ou Enterprise comprando-a no site PortSwigger. Você precisará criar uma conta e fornecer seus detalhes de pagamento. Você pode escolher entre diferentes planos de assinatura e métodos de pagamento. Depois de concluir sua compra, você receberá um e-mail com sua chave de licença e instruções sobre como ativá-la.
P: Como posso atualizar o Burp Suite para a versão mais recente?
R: Você pode atualizar o Burp Suite para a versão mais recente usando o recurso de atualização integrado. Você pode acessar esse recurso clicando no botão "Ajuda" na barra de menu e selecionando "Verificar atualizações". Você verá uma caixa de diálogo que mostra a versão atual e a versão mais recente do Burp Suite. Se houver uma versão mais recente disponível, você pode clicar no botão "Download" para fazer o download. Você pode instalá-lo seguindo as instruções na tela.
P: Como posso instalar BApps (extensões) para o Burp Suite?
R: Você pode instalar BApps (extensões) para Burp Suite usando o recurso BApp Store. Você pode acessar esse recurso clicando na guia "Extender" e selecionando "BApp Store". Você verá uma lista de BApps disponíveis que você pode instalar para o Burp Suite. Você pode navegar por diferentes categorias e classificações de BApps ou pesquisar um BApp específico por nome ou palavra-chave. Para instalar um BApp, basta clicar no botão "Instalar" ao lado dele. O BApp será baixado e instalado automaticamente. Você pode acessá-lo na guia "Extensões" em "Extensor".
P: Como posso exportar ou importar dados do Burp Suite?
R: Você pode exportar ou importar dados do Burp Suite usando várias opções do menu de contexto de diferentes ferramentas. Por exemplo, você pode exportar ou importar solicitações, respostas, problemas, logs, etc. de ferramentas como Proxy, Scanner, Intruder, Repeater, etc. Você pode escolher entre diferentes formatos para exportar ou importar dados, como XML, JSON, CSV, HTML, etc.
P: Como posso obter ajuda ou suporte para o Burp Suite?
R: Você pode obter ajuda ou suporte para o Burp Suite usando vários recursos fornecidos pelo PortSwigger. Alguns desses recursos são os seguintes:
Documentação: Você pode acessar a documentação oficial do Burp Suite clicando no botão "Ajuda" na barra de menu e selecionando "Ajuda do Burp Suite". Você verá um guia abrangente que abrange todos os aspectos e recursos do Burp Suite. Você também pode acessar a documentação on-line no .
Fórum: Você pode acessar o fórum oficial do Burp Suite clicando no botão "Ajuda" na barra de menu e selecionando "Burp Suite Support Center". Você verá um fórum onde poderá fazer perguntas, compartilhar dicas, relatar bugs, solicitar recursos etc. .
Blogue: Você pode acessar o blog oficial do Burp Suite clicando no botão "Ajuda" na barra de menu e selecionando "Burp Suite Blog". Você verá um blog onde poderá ler artigos, tutoriais, notícias, atualizações etc. relacionados ao Burp Suite e à segurança de aplicativos da web. Você também pode acessar o blog on-line a partir do .
Twitter: Você pode seguir a conta oficial do Burp Suite no Twitter clicando no botão "Ajuda" na barra de menu e selecionando "Seguir @Burp_Suite". Você verá tweets sobre Burp Suite e segurança de aplicativos da web. Você também pode seguir a conta online de .
E-mail: Você pode entrar em contato com a equipe do PortSwigger por e-mail clicando no botão "Ajuda" na barra de menu e selecionando "Contato com o PortSwigger". Você verá um endereço de e-mail que pode usar para enviar seus comentários, sugestões, consultas, etc. Você também pode usar este endereço de e-mail: .
Espero que este artigo tenha ajudado você a aprender como baixar e instalar o Burp Suite em diferentes plataformas, como configurar seu navegador para usar o Burp Suite como proxy, como explorar a interface e as ferramentas do Burp Suite e como executar algumas tarefas básicas com as ferramentas do Burp Suite. Se você tiver alguma dúvida ou comentário, sinta-se à vontade para deixá-los abaixo. Obrigado pela leitura e bons testes! 0517a86e26
Comments