Web uygulama güvenliğiyle uğraşan herkesin eninde sonunda tanıştığı araç Burp Suite. Ama çoğu yeni başlayan ilk kurulumda sertifika hatasına takılıp pes ediyor. Bu rehberde Burp'ü sıfırdan kuracak, trafiği yakalayacak ve en çok kullanılan iki sekmeyi (Repeater ve Intruder) pratikle göstereceğim. Kafamdaki hedef: bu yazıyı bitirince kendi lab uygulamanızda ilk isteğinizi tekrar oynatabilmeniz.
Konuda anlatılacaklar
- Burp Suite nedir, Community ve Professional farkı
- Kurulum ve ilk çalıştırma
- Tarayıcı proxy ayarı ve CA sertifikası
- Proxy ile trafiği yakalama
- Repeater ile istek düzenleme
- Intruder ile otomasyon mantığı
- Lab önerisi ve yasal uyarı
Burp Suite Nedir?
Burp Suite, PortSwigger tarafından geliştirilen, web uygulamalarını test etmek için kullanılan bir araya giren vekil sunucu (intercepting proxy) temelli güvenlik aracıdır. Tarayıcınız ile sunucu arasına girer; aradan geçen her HTTP/HTTPS isteğini görmenizi, durdurmanızı ve değiştirmenizi sağlar.
Sürümler:
- Community (ücretsiz): Proxy, Repeater, Decoder, Comparer tam; Intruder kısıtlı hızda; tarayıcı (scanner) yok.
- Professional (ücretli): Tam Intruder, otomatik zafiyet tarayıcı, uzantı deposu avantajları.
Yeni başlayanlar için Community gayet yeterli. Alternatif olarak açık kaynak OWASP ZAP da var.
Kurulum
Kali/Parrot gibi dağıtımlarda Burp zaten kuruludur. Değilse:
Kod:
# Kali
sudo apt update && sudo apt install burpsuite
# Veya resmi siteden .jar / installer:
# https://portswigger.net/burp/communitydownloadİlk çalıştırmada "Temporary project" ve "Use Burp defaults" ile ilerleyin.
Tarayıcı Proxy Ayarı ve CA Sertifikası
Burp varsayılan olarak 127.0.0.1:8080 portunda dinler. En kolay yol, Burp'ün gömülü tarayıcısını kullanmaktır (Proxy > Intercept > Open Browser); bu tarayıcıda sertifika zaten tanımlıdır.
Kendi tarayıcınızı kullanacaksanız:
- Tarayıcı proxy'sini 127.0.0.1:8080 yapın (FoxyProxy eklentisi işi kolaylaştırır).
- http://burpsuite adresine gidip CA sertifikasını (cacert.der) indirin.
- Sertifikayı tarayıcınızın güvenilen kök sertifika deposuna ekleyin.
Sertifikayı eklemezseniz HTTPS sitelerinde güvenlik uyarısı alırsınız. Bu adım en çok takılınan yer, acele etmeyin.
Proxy ile Trafiği Yakalama
Proxy > Intercept sekmesinde "Intercept is on" iken bir sayfa açın. İstek Burp'te durur; "Forward" ile iletir, "Drop" ile atarsınız. Durdurmadan sadece izlemek isterseniz Intercept'i kapatıp HTTP history sekmesinden geçmiş tüm istekleri inceleyebilirsiniz. Benim önerim: başta Intercept'i kapalı tutup history üzerinden çalışmak daha az kafa karıştırıcı.
Repeater ile İstek Düzenleme
Repeater, tek bir isteği defalarca elle değiştirip tekrar göndermenizi sağlar. En sık kullanacağınız sekme budur.
Akış:
- HTTP history'den bir isteğe sağ tıklayın > "Send to Repeater".
- Repeater sekmesinde istek gövdesini düzenleyin (parametre değeri, başlık vb.).
- "Send" ile gönderip sağdaki yanıtı inceleyin.
Örneğin bir id parametresini 1'den 2'ye çevirip yetki kontrolü var mı diye bakmak (IDOR testi) tam bir Repeater işidir.
Intruder ile Otomasyon Mantığı
Intruder, bir isteğin belirli noktalarına otomatik olarak farklı değerler yerleştirip (payload) toplu gönderim yapar. Mantığı:
- Positions: İsteğin değişecek kısmını isaretlersiniz (ör. parola alanı).
- Payloads: Denenecek değer listesini verirsiniz (ör. kelime listesi).
- Attack type: Sniper (tek nokta), Cluster bomb (çoklu nokta kombinasyonu) gibi.
Community sürümünde Intruder bilinçli olarak yavaşlatılır, yine de kavramı öğrenmek için yeterli. Yanıt uzunluğu veya durum koduna göre sıralayıp farklı davranan isteği bulmak temel tekniktir.
Lab Önerisi
Pratik için güvenli hedefler:
Kod:
# OWASP Juice Shop
docker run --rm -p 3000:3000 bkimminich/juice-shop
# DVWA
docker run --rm -p 80:80 vulnerables/web-dvwaBir de PortSwigger'ın ücretsiz Web Security Academy lab'ları Burp öğrenmek için birebirdir.
Sonuç
Burp'ü öğrenmenin yolu okumaktan çok dokunmaktan geçiyor. Proxy > Repeater > Intruder sırasıyla ilerleyin, her adımı kendi lab'ınızda deneyin. Takıldığınız sertifika/proxy adımlarını yorumlara yazarsanız yardımcı olmaya çalışırım.
Yasal Uyarı
Burp Suite'i yalnızca kendi sistemlerinizde ya da açıkça yetkilendirildiğiniz (bug bounty kapsamı, yazılı izin) hedeflerde kullanın. İzinsiz test TCK 243-245 kapsamında suçtur.
Görsel: Mvb71, Wikimedia Commons, lisans CC BY-SA 4.0 - https://commons.wikimedia.org/wiki/File:...pSuite.png
İmza
TurkTeam Yonetim | Bilgi ozgurdur, etik yon verir. | Beyaz sapkayi hic cikarma.