Apprendre Burp Suite sur Kali Linux : Partie 2

Introduction

Dans cette deuxième partie de la série Burp Suite, vous allez voir comment utiliser le proxy Burp Suite pour collecter des données à partir de requêtes provenant de votre navigateur. Vous allez explorer le fonctionnement d’un proxy d’interception et comment lire les données de requête et de réponse collectées par Burp Suite.

La troisième partie du guide vous guidera à travers un scénario réaliste de la façon dont vous utiliseriez les données collectées par le proxy pour un test réel.

Il y a plus d’outils intégrés à Burp Suite avec lesquels vous pouvez utiliser les données que vous collectez, mais ceux-ci seront couverts dans la quatrième et dernière partie de la série.

Interception du trafic

Le proxy de Burp Suite est ce que l’on appelle un proxy d’interception. Cela signifie que tout le trafic qui passe par le proxy a la possibilité d’être intercepté et transmis manuellement par l’utilisateur du proxy. Cela vous permet d’inspecter manuellement chaque demande et de choisir comment y réagir.

Cela peut être bon au cas par cas, mais il peut aussi être très évident pour un utilisateur que quelque chose ne va pas si vous l’utilisez dans le cadre d’un véritable pentest professionnel.

Ainsi, si vous cherchez simplement à capturer une grande quantité de trafic à la fois et à le surveiller au fur et à mesure qu’il circule ou à le passer au peigne fin plus tard, vous pouvez désactiver la fonction d’interception du proxy et permettre au trafic de circuler librement.

Pour basculer l’interception, rendez-vous dans l’onglet « Proxy » sur la rangée supérieure des onglets, puis sur l’onglet « Interception » sur la deuxième rangée. Par défaut, le troisième bouton doit indiquer « L’interception est activée ». Cliquez dessus pour activer ou désactiver l’interception. Pour l’instant, laissez-le activé.

Dans Firefox, accédez à votre site WordPress chez localhost. Vous devriez voir l’icône « chargement » tourner sur votre onglet et Firefox ne va nulle part. C’est parce que la requête adressée à votre serveur Web a été interceptée par le proxy de Burp.

Vérifiez la fenêtre de votre suite Burp. Il y aura maintenant des données de demande dans votre onglet « Intercepter ». Il s’agit des informations qui ont été envoyées par le navigateur à votre serveur WordPress pour demander la page à laquelle vous avez navigué. Vous ne verrez aucun code HTML ou quoi que ce soit qui serait renvoyé par le serveur. Vous pouvez obtenir des données de réponse en vous rendant dans l’onglet « Options » sous « Proxy » et en cochant « Intercepter les réponses en fonction des règles suivantes » et « La demande a été interceptée ».

Dans tous les cas, vous pouvez jeter un coup d’œil aux nouveaux onglets sur l’écran « Intercepter ». Raw, Params et Headers seront les plus utiles pour vous. Ils affichent tous essentiellement les mêmes données, mais dans des formats différents. Raw affiche la requête brute telle qu’elle a été envoyée. Params affiche tous les paramètres envoyés avec la demande. C’est souvent là que des informations utiles telles que les informations de connexion seront facilement trouvées. Les en-têtes n’afficheront que les en-têtes de demande. Ceci est utile lorsque la requête contient du HTML.

Pour transférer la demande au serveur, appuyez sur le bouton « Transférer ». Si vous avez configuré Burp pour intercepter la réponse, vous verrez maintenant cela remplir votre écran. Sinon, les données disparaîtront lorsqu’elles seront envoyées au serveur.

Les données de réponse sont similaires, mais comportent de nouvelles sections, comme « HTML ». Celle-ci contient le code HTML brut tel qu’il a été envoyé par le serveur. Il doit également y avoir un onglet appelé « Rendre ». Burp peut essayer d’afficher la réponse HTML, mais il n’inclura pas de CSS, de JavaScript ou d’actifs statiques. Cette fonctionnalité a uniquement pour but de vous donner une idée rapide de la structure de la page renvoyée. En cliquant à nouveau sur « Transférer », la réponse sera envoyée à Firefox.

Trafic proxy

Désactivez l’interception. Pour la partie suivante, surveillez simplement le trafic au fur et à mesure qu’il passe par le proxy. Naviguez autour de votre site WordPress factice. Si vous en avez besoin, trouvez du contenu absurde avec lequel remplir le site, afin que vous puissiez voir à quoi cela ressemble de voir un flux de trafic plus réaliste à travers Burp Suite.

Tout le trafic qui passe par le proxy de Burp Suite se trouve dans l’onglet « Historique HTTP » sous « Proxy ». Par défaut, les requêtes sont répertoriées par ordre croissant. Vous pouvez modifier cette option pour afficher le dernier trafic en haut en cliquant sur le # en haut de la colonne ID de la demande à l’extrême gauche du tableau.

Assurez-vous de passer un peu de temps à cliquer sur votre site WordPress et à regarder Burp Suite pendant que vous le faites. Vous verrez la liste de votre historique HTTP se remplir rapidement. Ce qui peut surprendre, c’est le nombre de demandes recueillies. Votre navigateur effectuera généralement plus d’une requête par clic. Ces demandes peuvent concerner des ressources sur la page ou faire partie de redirections. Selon les thèmes ou les polices que vous avez installés, vous pouvez même voir des requêtes envoyées à d’autres domaines. Dans un scénario réel, cela sera extrêmement courant, car la plupart des sites Web utilisent des ressources et des réseaux de diffusion de contenu hébergés indépendamment.

Examen d’une demande

Choisissez une demande à laquelle j’ai droit. Il est préférable d’en trouver un avec un type MIME de HTML. Cela signifie qu’il s’agissait d’une demande pour l’une des pages du site Web et qu’elle contient du code HTML que vous pouvez consulter.

Lorsque vous en sélectionnez un pour la première fois, la demande s’affiche sous sa forme brute. La requête brute contiendra toutes les informations envoyées de Firefox au serveur. Il s’agit d’une requête similaire à celle que vous avez interceptée. Cette fois, vous le regardez après coup plutôt qu’en transit.

Vous pouvez certainement utiliser la requête brute pour extraire des informations clés, si vous êtes plus à l’aise avec elle, mais les onglets Paramètres et En-têtes s’avéreront beaucoup plus simples à lire dans la plupart des cas. Jetez un coup d’œil aux paramètres. Celui-ci contiendra toutes les informations variables que le navigateur doit transmettre au navigateur. Dans le cas de nombreuses pages HTML de base, il ne contiendra probablement que des cookies. Lorsque vous décidez de soumettre un formulaire, les informations contenues dans le formulaire apparaîtront ici.

Les en-têtes contiennent des informations sur la requête elle-même, sa cible et votre navigateur. Les en-têtes spécifient si la demande était une requête GET ou POST. Ils vous diront également quel serveur ou site Web est contacté. La demande comprendra des informations sur le navigateur que le serveur pourra utiliser et la langue dans laquelle il doit répondre. Il y a un certain chevauchement, et vous verrez également des informations sur les cookies ici. Il peut également être utile de voir quels types d’informations ou de fichiers le navigateur acceptera en retour du serveur. Ceux-ci sont répertoriés sous « Accepter ».

Regard sur la réponse

Cliquez sur l’onglet « Réponse ». Tout cela ressemble beaucoup à la demande en ce qui concerne le type d’information disponible. Tout comme la requête, la réponse brute est chargée d’informations dans un format assez désorganisé. Vous pouvez l’utiliser, mais il est préférable de le décomposer avec les autres onglets.

Au lieu de trouver des informations sur le navigateur dans les en-têtes, vous trouverez des informations sur le serveur. Les en-têtes vous indiquent généralement le type de réponse HTTP reçu du serveur. Vous trouverez également des informations sur le type de serveur Web en cours d’exécution et sur la langue de backend qui alimente la page. Dans ce cas, il s’agit de PHP.

L’onglet HTML contiendra le code HTML brut que le serveur a envoyé au navigateur pour afficher la page. Il se peut que vous ne trouviez rien d’intéressant ici, en fonction de ce que vous recherchez. Ce n’est pas très différent de l’affichage de la source d’une page à partir de votre navigateur.

Réflexions finales

Bien. Vous avez installé et configuré Burp Suite. Vous avez transmis par proxy des requêtes de Firefox et les avez interceptées. Vous avez également permis à Burp Suite de collecter plusieurs demandes et de les évaluer pour obtenir des informations utiles.

Dans le guide suivant, vous allez l’utiliser pour recueillir des informations pour une attaque par force brute sur la page de connexion de WordPress.