Apprendre Burp Suite sur Kali Linux : Partie 1
Il y a beaucoup trop de fonctionnalités dans Burp Suite pour être couvertes dans un seul guide, donc celui-ci sera divisé en quatre parties. Cette première partie couvrira la configuration de Burp Suite et son utilisation comme proxy pour Firefox. Le second couvrira comment recueillir des informations et utiliser le proxy Burp Suite. La troisième partie aborde un scénario de test réaliste à l’aide des informations recueillies par le proxy Burp Suite. Le quatrième guide couvrira de nombreuses autres fonctionnalités que Burp Suite a à offrir.
Dans ce guide, vous allez vous entraîner à utiliser Burp Suite sur une instance auto-hébergée de WordPress. Si vous avez besoin d’aide pour le configurer, consultez votre guide Debian.
Burp Suite est installé par défaut sur Kali Linux, vous n’avez donc pas à vous soucier de son installation. En fait, c’est l’une des applications de la liste des favoris sur un CD live de Kali.
Ouvrez-le et cliquez sur les menus qui s’ouvrent. Utilisez simplement les valeurs par défaut. Burp Suite peut entrer dans une certaine profondeur de configuration, mais ce n’est pas nécessaire pour ce guide ou une utilisation de base.
Configuration de Firefox
Burp Suite contient un proxy d’interception. Pour utiliser Burp Suite, vous devez configurer un navigateur pour qu’il transmette son trafic via le proxy Burp Suite. Ce n’est pas trop difficile à faire avec Firefox, qui est le navigateur par défaut sur Kali Linux.
Ouvrez Firefox et cliquez sur le bouton de menu pour ouvrir le menu de paramètres de Firefox. Dans le menu, cliquez sur « Préférences » et l’onglet « Préférences » s’ouvrira dans Firefox. À l’extrême gauche de l’onglet se trouve une autre liste de menus. Cliquez sur la dernière option, « Avancé ». En haut de l’onglet « Avancé » se trouve un nouveau menu. Cliquez sur l’option « Réseau » au centre. Dans la section « Réseau », cliquez sur le bouton du haut intitulé « Paramètres... » Cela ouvrira les paramètres de proxy de Firefox.
Il existe un certain nombre d’options intégrées à Firefox pour gérer les proxys. Pour ce guide, sélectionnez la case d’option « Configuration manuelle du proxy : ». Cela ouvrira une série d’options qui vous permettront de saisir manuellement l’adresse IP et le numéro de port de votre proxy pour chacun des nombreux protocoles. Par défaut, Burp Suite s’exécute sur le port 8080, et puisque vous l’exécutez sur votre propre machine, entrez 127.0.0.1 comme adresse IP. Votre principale préoccupation sera HTTP, mais vous pouvez cocher la case « Utiliser ce serveur proxy pour tous les protocoles » si vous vous sentez paresseux.
Sous les autres options de configuration manuelle se trouve une boîte qui vous permet d’écrire des exemptions pour le proxy. Firefox ajoute à la fois le nom, localhost, ainsi que l’adresse IP, 127.0.0.1, à ce champ. Supprimez-les ou modifiez-les, car vous allez surveiller le trafic entre votre navigateur et une installation WordPress hébergée localement.
Une fois Firefox configuré, vous pouvez procéder à la configuration de Burp et démarrer le proxy.
Configuration du proxy
Le proxy doit être configuré par défaut, mais il suffit de prendre une seconde pour le vérifier. Si vous souhaitez modifier les paramètres à l’avenir, vous devez le faire en suivant la même méthode.
Dans votre fenêtre Burp Suite, cliquez sur « Proxy » dans la rangée supérieure d’onglets, puis sur « Options » au niveau inférieur. La partie supérieure de l’écran doit indiquer « Proxy Listeners » et comporter une boîte avec l’adresse IP de l’hôte local et le port 8080. À côté de celle-ci à gauche devrait se trouver une case cochée dans la colonne « En cours d’exécution ». Si c’est ce que vous voyez, vous êtes prêt à commencer à capturer du trafic avec Burp Suite.
Réflexions finales
À ce stade, la suite Burp fonctionne en tant que proxy pour Firefox, et vous êtes prêt à commencer à l’utiliser pour capturer des informations provenant de Firefox vers votre installation WordPress hébergée localement.
Dans le guide suivant, vous allez capturer ces informations et apprendre à les lire et à les décomposer en éléments utilisables. La quantité d’informations que Burp Suite peut recueillir est assez étonnante, et cela ouvre un monde de nouvelles possibilités pour tester vos applications Web.