Ну що як і обіцяв, продовжую серію постів по інструментах, які реально допомагають QA руками перевіряти безпеку - а то я забувся але нотатки роблять вещі коли ти їх пишеш)
Сьогодні, коротенько Burp Suite, трохи глибше і технічніше, просто те, що реально юзається в роботі. https://portswigger.net/burp/pro
Ну Налаштування Proxy це стандартний базіс так? Щоб перехоплювати запити з браузера/клієнта:
Налаштовуєшь локальний проксі в Burp (127.0.0.1:8080) далі у браузері вказуєте проксі вручну або через FoxyProxy ну і додаете Burp CA-сертифікат, щоб бачити HTTPS-запити
Ну а далі вже цікавіше
Фільтрація в Proxy / HTTP history
method == "POST" && request.uri contains "/api"
response.status == 500 || 403
Також Repeater, ручні тести
Переніс запит → вручну змінив тіло, хедери, токен:
Authorization: Bearer <тут ваш токін>
Content-Type: application/json
{
"userId": "123",
"role": "admin"
}
Часто дозволяє перевірити доступ до чужих об'єктів (IDOR), перевірку ролей.
Intruder / фуззинг
Тут про пошук вразливостей на змінних:
api/user?id=§1§
Payloads: 1–1000, ' OR '1'='1, <script>alert(1)</script>
ну а Active Scan (Pro) там конечно не без грошей) АЛЕ
Автоматичне сканування на XSS, SQLi, CSRF, Open Redirect, SSRF і т.д. Можна запускати на окремі запити вручну.
ну і також не забуваємо про Розшифровка JWT, Base64, URL-encoding, порівняння респонсів при зміні одного поля
Мій поінт який про це все)
Бо КУА це не лише працює чи ні, а, а що буде, якщо я трохи схитрю?
І Burp якраз той інструмент, з яким ти не просто тестер, ти вже трошки хакер.
Пішіть якщо знаєте про нього щось цікавіше або аналог - мені буде цікаво)
Але про серденько не забувайте - хай погріє душу)
Всім гарного і спокійного вечора друзі
Обняв 🤗