Burp Suite.

Burp Suite は業界標準の Web アプリケーション セキュリティ テスト プラットフォームで、Dafydd Stuttard が 2003〜2006 年ごろに開発を始め、彼の会社である PortSwigger が開発を続けています。これは中間者(man-in-the-middle)プロキシとして動作します。テスターはブラウザを Burp 経由に設定し、Burp は独自の CA 証明書をインストールして TLS を復号できるようにしたうえで、各リクエストを一時停止して検査と改ざんを行えるようにします。このコアの周りに、Repeater(単一リクエストを手作業で組み立てて再送)、Intruder(インジェクションやブルートフォース向けの自動ペイロードファジング)、Decoder、Comparer、Sequencer(トークンのエントロピー解析)、そしてコミュニティ拡張のための BApp 拡張 API が配置されています。

Professional 版と Enterprise 版は、OWASP Top 10 — SQL インジェクション、XSS、SSRF など — をクロールして監査するアクティブな DAST スキャナーを追加します。2015 年に加わった画期的な機能である Burp Collaborator は、攻撃者が制御する外部サービスを提供し、標的が Collaborator に返してくる DNS/HTTP コールバックを観測することで、ブラインドおよびアウトオブバンドの脆弱性(ブラインド XSS、SSRF、非同期インジェクション)を検出します。これらはインバンドのテストでは見えない問題です。Burp は PortSwigger の無償 Web Security Academy の多くを支える基盤であり、バグバウンティやペンテストのワークフローで定番となっています。

きわめて重要なこととして、Burp はデュアルユースの攻撃ツールです。許可なくアプリケーションを傍受またはファジングする行為は、多くの法域で違法です。合法的な利用には、いかなるトラフィックを送る前にも、署名済みのペンテスト対象範囲やバグバウンティプログラムの参加規約など、明示的な書面による許可が必要です。

flowchart LR
  A[ブラウザ] -->|HTTP/S| B[Burp プロキシ 独自 CA による中間者]
  B --> C{検査または改ざん}
  C --> D[Repeater 再送]
  C --> E[Intruder ペイロードのファジング]
  C --> F[スキャナー DAST 監査]
  F --> G[標的 Web アプリ]
  D --> G
  E --> G
  G -.->|ブラインドまたはアウトオブバンドのコールバック| H[Burp Collaborator]