Burp Suite adalah pemindai kerentanan canggih yang dikembangkan oleh Portswigger yang digunakan untuk menguji keamanan aplikasi web. Burp Suite, yang hadir dengan distribusi seperti Kali dan Parrot, memiliki alat bernama Intruder, yang memungkinkan Anda melakukan serangan khusus otomatis terhadap aplikasi online untuk peretasan etis. Intruder adalah alat yang fleksibel dan dapat dikonfigurasi, artinya Anda dapat menggunakannya untuk mengotomatiskan tugas apa pun yang muncul dalam pengujian aplikasi.
Jadi bagaimana cara kerjanya?
Menggunakan Target di Intruder
Target, yang dapat Anda lihat saat membuka tab Intruder di Burp Suite, berisi informasi tentang situs web atau aplikasi target yang ingin Anda uji. Anda dapat memasukkan informasi host dan nomor port sebagai target di bawah bagian "Posisi Payload".
Menggunakan Tab Posisi di Intruder
Di tab Posisi, Anda dapat melihat jenis serangan, template permintaan, dan informasi parameter yang akan ditargetkan. Berikut adalah jenis serangan yang dapat Anda uji menggunakan Burp Suite.
Penembak jitu: Opsi ini hanya menggunakan satu parameter. Parameter yang tidak ditargetkan tidak terpengaruh dalam kasus ini.
Alat pemukul dinding: Opsi ini menggunakan vektor serangan tunggal untuk semua parameter yang ditargetkan. Artinya, jika ada tiga parameter target dalam template permintaan, maka ketiganya akan diserang menggunakan vektor serangan yang sama.
Garpu rumput: Dalam opsi ini, dimungkinkan untuk menggunakan lebih dari satu vektor serangan untuk semua parameter yang ditargetkan. Jika menurut Anda ada tiga parameter target dalam template permintaan, permintaan pertama adalah memilih dan menempatkan elemen pertama dari daftar pertama untuk parameter pertama; elemen pertama dari daftar kedua untuk parameter kedua; dan elemen pertama dari daftar ketiga untuk parameter ketiga. Dalam permintaan kedua, elemen yang dipilih akan menjadi elemen kedua dari setiap daftar. Anda dapat menggunakan jenis serangan ini saat menempatkan vektor berbeda pada beberapa parameter target.
Bom cluster: Anda dapat mempekerjakan lebih dari satu vektor serangan untuk semua parameter yang ditargetkan menggunakan opsi ini. Perbedaan antara itu dan opsi Pitchfork adalah bom cluster memungkinkan Anda menyesuaikan semua distribusi kombinasi. Itu tidak membuat pilihan berurutan seperti Pitchfork. Mencoba setiap kombinasi yang mungkin dari parameter target dapat menghasilkan beban permintaan yang sangat besar. Akibatnya, Anda harus berhati-hati saat menggunakan opsi ini.
Ada beberapa tombol berguna lainnya di layar Posisi. Anda dapat menghapus parameter yang dipilih dengan Jernih tombol di sebelah kanan. Jika Anda ingin menargetkan yang baru, Anda dapat menggunakan Menambahkan tombol di sebelah kanan juga. Menggunakan Mobil tombol untuk memilih semua bidang secara otomatis atau kembali ke keadaan semula.
Apa Tab Muatan di Burp Suite?
Pikirkan daftar muatan seperti daftar kata. Anda dapat menggunakan Payload tab untuk mengatur satu atau lebih daftar muatan. Jumlah set muatan bervariasi tergantung pada jenis serangan.
Anda dapat menentukan kumpulan muatan dalam satu atau beberapa cara. Jika Anda memiliki daftar kata yang kuat, Anda dapat mengimpor daftar kata Anda dengan memilih Memuat tombol dari bagian "Opsi Payload".
Anda juga dapat menyiapkan kumpulan muatan terpisah untuk parameter yang ditargetkan. Misalnya, Anda hanya dapat menggunakan ekspresi numerik untuk parameter target pertama, sementara Anda dapat menggunakan ekspresi kompleks untuk parameter target kedua.
Pemrosesan muatan
Anda selanjutnya dapat memperluas set payload yang dikonfigurasi melalui Pemrosesan muatan dengan aturan dan pengkodean. Misalnya, Anda dapat mengawali semua payload, memintanya menyandikan dan mendekode, atau melewati ekspresi yang meneruskan regex tertentu.
Pengkodean muatan
Dengan Pengkodean muatan, Anda dapat menentukan karakter mana yang harus disandikan URL dalam parameter selama transmisi permintaan HTTP ke tujuan tanpa masalah. Pengkodean URL adalah versi informasi yang dikonversi yang kemungkinan besar dibingungkan dengan alamatnya. Burp Suite mengirimkan URL untuk menyandikan karakter yang setara seperti ampersand (&), tanda bintang (*), dan titik koma dan titik dua (masing-masing,; dan :) dalam pengaturan default.
Apa itu Tab Opsi di Penyusup?
Itu Pilihan tab memiliki opsi untuk tajuk permintaan, hasil serangan, kecocokan grep, dan pengalihan. Anda dapat mengubahnya di antarmuka Penyusup sebelum memulai pemindaian.
Header Permintaan
Anda dapat menyetel tajuk permintaan menggunakan setelan di bidang "Tajuk Permintaan". Hal penting yang perlu diperhatikan di sini adalah Content-Length header: alamat tujuan dapat mengembalikan kesalahan jika konten tidak diperbarui dengan benar.
Jika informasi Set-Connection tidak digunakan, koneksi mungkin tetap terbuka, jadi, setelah mengaktifkan opsi Set-Connection, koneksi diakhiri. Namun, Anda dapat melakukan transaksi lebih cepat.
Penanganan Kesalahan
Pengaturan di bagian "Penanganan Kesalahan" mengontrol mesin yang digunakan untuk membuat permintaan HTTP dalam pemindaian Penyusup. Di sini, Anda bisa mengatur parameter seperti kecepatan, tingkat keparahan, dan durasi serangan.
Hasil Serangan
Bagian "Hasil Serangan" memungkinkan Anda mengatur informasi apa yang akan ada dalam hasil pemindaian. Pengaturan konfigurasi ini memiliki opsi berikut:
- Permintaan/tanggapan toko: Kedua opsi ini untuk menentukan apakah konten permintaan dan tanggapan pemindaian harus disimpan atau tidak.
- Buat permintaan baseline yang tidak dimodifikasi: Ini berisi nilai dasar dari parameter yang ditargetkan serta permintaan pemindaian yang dikonfigurasi, sehingga Anda dapat membandingkan respons pemindaian.
- Gunakan mode denial-of-service: Dengan opsi ini, Anda dapat membuat permintaan pemindaian normal. Namun, mungkin tiba-tiba mati sebelum ada respon dari server karena fungsi ini menyebabkan kelelahan pada server target. Itu sebabnya Anda harus menggunakannya dengan hati-hati.
- Simpan muatan penuh: Ini memungkinkan Burp Suite untuk menyimpan nilai muatan yang tepat untuk setiap hasil. Jika Anda memilih ini, Penyusup akan mengambil ruang ekstra.
Grep - Cocokkan, Ekstrak, Muatan
Anda dapat menggunakan setelan di bagian "Grep—Match", "Grep—Extract", dan "Grep—Payloads" untuk menandai hasil yang berisi frasa yang ditentukan dalam respons pemindaian. Burp Suite akan menambahkan kolom konfirmasi untuk setiap item yang Anda konfigurasikan, menunjukkan apakah item tersebut ditemukan dalam respons. Misalnya, dalam serangan kata sandi, Anda mungkin melihat kalimat seperti "kata sandi salah" dan "login berhasil". Fitur-fitur di bagian Grep-Match meliputi:
- Jenis pencocokan: Ini menunjukkan apakah ekspresi yang ditentukan adalah regex (ekspresi reguler) atau ekspresi teks.
- Pencocokan peka huruf besar/kecil: Ini menentukan apakah akan peka huruf besar kecil atau tidak.
- Kecualikan tajuk HTTP: Menentukan apakah garis header dibebaskan dari operasi ini.
Mengapa Burp Suite Begitu Penting?
Peretas etis sering menggunakan Burp Suite untuk operasi bug bounty. Demikian pula, peneliti keamanan yang bekerja di perusahaan korporat dan penguji penetrasi yang ingin melakukan pengujian keamanan pada aplikasi internet mungkin juga mengandalkan Burp Suite. Tentu saja, ada banyak alat bagus lainnya yang bisa Anda gunakan untuk pengujian penetrasi; menguasai alat pentesting lain selain Burp Suite akan membuat Anda menonjol.
