Burp Suite Community в Kali: 5 инструментов для аудитора | Инструмент 02

Два ответа, отличающиеся всего на одну цифру, и автор второго — не я. Burp Suite Community Edition, бесплатная версия, на Kali: двухминутная настройка, затем пять инструментов, используемых аудитором, история HTTP с фильтром области видимости, Repeater, Comparer, Decoder, карта сайта и Match and replace, один честный тупик (без сканера, Intruder — демо-версия), обнаружение с оценкой CVSS 3.1, исправление и повторное тестирование. Полный курс:    • Full Pentesting Course: 10 Real Audits, Li...   Инструмент недели 02. Моя собственная изолированная лаборатория; магазин-01, API Pinewick, каждый аккаунт, заказ, cookie и токен — всё это выдумано. РАЗДЕЛЫ 00:00 Результат: два ответа, отличающиеся на одно число 01:00 Что такое Burp и чем он не является 02:44 Настройка: слушатель, браузер, сертификат, область действия 05:59 История HTTP, только в области действия 07:16 Повторитель: одно измененное число 08:26 Компаратор: картина доказательств 09:29 Декодер: прочитать токен, никогда не отправлять его повторно 10:51 Карта сайта и сопоставление и замена: пометьте свой трафик 12:22 Тупик: нет сканера, Intruder — это демонстрация 13:40 Результат, CVSS 3.1, исправление и повторное тестирование 15:46 Итог: пять правил, проверьте себя ИЗ ЖИВОЙ СЕССИИ (Burp Suite Community 2026.8, пакет Kali) Настройки, Инструменты, Прокси: один слушатель, 127.0.0.1:8080 (только петля обратной связи) Firefox, отдельный Профиль: ручной прокси 127.0.0.1 порт 8080, все протоколы HTTPS: http://burpsuite, Сертификат CA, затем Конфиденциальность и безопасность Firefox, Просмотр сертификатов, Центры сертификации, Импорт Цель, Область действия, Добавить: http://10.10.10.50:3000/ · Настройки, Проект, Область действия: Отклонять все запросы вне области действия Прокси, Перехват: выключено (наблюдать, не удерживать) Прокси, История HTTP, Настройки фильтра: Показывать только элементы в области действия Повторитель: Ctrl+R, Ctrl+Space без изменений (200, мой порядок), затем 1042 становится 1041 (200, владелец alice: находка), Сохранить элемент Сравнитель: Отправить в Сравнитель x2, Слова: id, владелец, имя, адрес, элементы, общее различие Декодер: cut -d. -f1,2 creds/user-a.token | tr . '\n' затем Декодировать как Base64: HS256, sub 1041, iat, no exp date -u -d @1789549920 Цель, Карта сайта: фильтр в области видимости; черный = запрошено, серый = не проверено Прокси, Сопоставление и замена: Заголовок запроса, Сопоставление пустое, Замена X-Audit-Id: ce-t02-2026-10 Повторная проверка (после исправления): 1041 = 404, 1042 = 200 РЕЗУЛЬТАТ (базовый балл CVSS 3.1; оценка только того, что было доказано) T02-01 Нарушение авторизации на уровне объекта: любой клиент может прочитать любой заказ по идентификатору · 6.5 Средний · AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N Отмечены сомнения: записи без персональных данных будут C:L, 4.3. CWE-639, OWASP WSTG-ATHZ-04, OWASP API1:2023. Исправление: владелец заказа должен совпадать с авторизованным пользователем, иначе ошибка 404. Повторная проверка с тем же отправителем Repeater: закрыто. Наблюдение (api-01, оценено в модуле 18 как A-02): токен без exp действителен до смены ключа. СООБЩЕСТВО ПРОТИВ PRO (PortSwigger) Бесплатно: прокси и история, Repeater, Comparer, Decoder, Sequencer, Intruder (демо). Только Pro: сканер уязвимостей, полный Intruder, файлы проекта, расширения только для Pro. Правило: сообщество ограничивает скорость, а не доказательства. Источники: https://portswigger.net/burp/releases · https://pkg.kali.org/pkg/burpsuite Шпаргалка (каждый клик и строка выше): cybereraos.com ЛАБОРАТОРНОЕ ЗАДАНИЕ (только ваша собственная лаборатория) Запустите небольшое веб-приложение с двумя тестовыми учетными записями на виртуальной машине, принадлежащей вам. Установите область действия, удалите запрос вне области действия, найдите запрос записи в истории, измените один идентификатор в Repeater, сравните два ответа в Comparer, запишите результат с вектором CVSS, исправьте проверку владельца, повторно протестируйте с тем же способом отправки. Затем пометьте ваши запросы заголовком X-Audit-Id (Сопоставление и замена) и найдите их в журнале сервера. ПРОВЕРЬТЕ СЕБЯ (ответы в видео и закрепленном комментарии) 1. Firefox показывает предупреждение о сертификате через Burp в приложении HTTPS: какой шаг вы пропустили и куда он должен перейти? 2. Repeater возвращает код 200 для записи другого клиента, и ваша область действия допускает одно подтверждение: следующий клик, Intruder или Save item? СЕРИЯ Предыдущая: CVE 01, PHP2Shell:    • PHP2Shell CVE-2026-109618 & CVE-2026-10961...   Следующая: CVE недели 03, Plex Media Server:    • Plex Media Server KEV Flaws: Check the Bui...   Модуль 05, Burp Suite: 20%, которые вы будете использовать в каждом веб-тесте:    • Burp Suite: The 20% You'll Use in Every We...   Модуль 18, Аудит безопасности API:    • API Security Audit: BOLA, JWT Expiry and R...   Плейлист: Пентестинг с нуля, в прямом эфире на Kali ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ Только в образовательных целях. Все работает в моей собственной изолированной лаборатории с заранее написанным описанием области действия; каждый хост, учетная запись, cooki...