ويكيبيديا

برب سويت

لا توجد نسخ مراجعة من هذه الصفحة، لذا، قد لا يكون التزامها بالمعايير متحققًا منه.

Burp Suite عبارة عن أداة برمجية خاصة لتقييم الأمان واختبار الاختراق لتطبيقات الويب. [2] [3] تم تطويره في البداية في الفترة من 2003 إلى 2006 بواسطة Dafydd Stuttard [4] لأتمتة احتياجات اختبار الأمان الخاصة به، بعد إدراك قدرات أدوات الويب القابلة للأتمتة مثل Selenium . [5] أنشأ ستوتارد شركة PortSwigger لتكون الرائدة في تطوير Burp Suite. يتوفر هذا المنتج بإصدارات مجتمعية مجانية ولكن محدودة الاستخدامات ومهنية خاصة بالاشخاص الذين يعملون في مجان الامن السيبراني كافراد ومؤسسية عبارة عن نظام كامل لاختبار ومتابعة الثغرات للشركات بدون اي تفاعل يدوي او بتفاعل بسيط جدا لنكون صرحاء.

برب سويت
معلومات عامة
نوع
موقع الويب
portswigger.net… (الإنجليزية) عدل القيمة على Wikidata
معلومات تقنية
لغة البرمجة
الإصدار الأول
2004 عدل القيمة على Wikidata
الإصدار الأخير
  • 2024.10.3
    (29 نوفمبر 2024)     [1] عدل القيمة على Wikidata

تعديل - تعديل مصدري - تعديل ويكي بياناتحول القالب

تتضمن القدرات البارزة في هذه المجموعة ميزات لتوكيل عمليات الزحف او التحرك في المواقع على الويب (Burp Proxy)، [6] وتسجيل طلبات/استجابات HTTP (Burp Logger وHTTP History)، والتقاط/اعتراض طلبات HTTP أثناء ارسال واستلام الطلبات من والي المواقع التي تختبرها (Burp Intercept)، [7] والتقارير المجمعة التي تشير إلى نقاط الضعف (Burp Scanner). [8] يستخدم هذا البرنامج قاعدة بيانات مدمجة تحتوي على أنماط لادوات مدمجة للبحث عن الثغرات او الاماكن غير الأمنة وكلمات رئيسية للبحث داخل طلبات/استجابات HTTP الملتقطة. [9]

يتمتع Burp Suite بالعديد من وظائف الاختراق. تتضمن بعض خدمات PoC مثل خدمة Generate CSRF PoC المضمنة اختبارات لخفض مستوى HTTP، [10] والتفاعل مع خوادم الحماية الخارجية المستضافة بالأدوات (Burp Collaborator) تلك الخاصية تساعد في اكتشاف ثغرات مثل SSRF and File Local Inclusion، [11] وتحليل قوة التوزيع العشوائي الزائف (Burp Sequencer). [12] تسمح هذه الأداة بدمج الوظائف المحددة من قبل المستخدم من خلال تنزيل المكونات الإضافية مفتوحة المصدر (مثل Java Deserialization Scanner [13] و Autorize [14] و Active Plus Plus [15]).

مميزات البرب سويت

عدل

كمحلل أمان للويب ، يقدم Burp Suite العديد من الميزات المضمنة المصممة لمساعدة المختبرين في تدقيق تطبيقات الويب الخاصة بهم.

من العادة ان البرب سويت معروف ان لديه كمية من الاختبارات في النسخ المدفوعة منه جيدة جدا في اكتشاف الثغرات بشكل تلقائي منها ثغرات مثل XSS او LFI وايضا تم اصدار شئ جديد من سنتين يسمي BChecks ستجد معلومات عنه في ادني هذه الصفحة.

إصدار المجتمع

عدل
 
إصدار مجتمع BurpSuite

تتضمن نسخة Community Edition المجانية من اداة Burp Suite الميزات التالية. [16]

  • Burp Proxy and Interceptor: مثل أجهزة فحص أمان تطبيقات الويب الأخرى، فإن إحدى الوظائف الأساسية وراء Burp Suite هي قدرته على العمل كخادم وكيل لطلبات HTTP من جانب العميل. [17] يمكن لمختبري الاختراق اعتراض متغيرات طلبات HTTP الافتراضية لخوادم الويب (السمات، معلمات النص، ملفات تعريف الارتباط، الرؤوس) في الوقت الفعلي وتحرير هذه القيم أثناء التنقل. [18]
  • خريطة موقع Burp: تعمل BurpSuite بشكل مشابه لبرنامج OWASP ZAP ، حيث يمكن التقاط خرائط مواقع عناوين URL المستهدفة [19] إما من خلال الزحف التلقائي أو اليدوي للويب. [20] عندما يقوم المستخدمون بالزحف عبر تطبيق ويب، يتم إرسال طلبات HTTP إلى وكيل ويب في برنامج Burp Suite. بمجرد التقاط طلبات/استجابات HTTP، يمكن التحقيق في نقاط النهاية هذه يدويًا أو تدقيقها تلقائيًا من خلال الميزات المتوفرة في الإصدار الاحترافي من Burp Suite.
  • Burp Logger وHTTP History: يحتفظ بقائمة طلبات/استجابات HTTP التي تم التقاطها أثناء الزحف على الويب (والفحص التلقائي للإصدار الاحترافي). [21] [22]
  • مكرر التجشؤ: يكرر طلبات HTTP الملتقطة، مما يسمح بإجراء تغييرات مخصصة على متغيرات الطلب. [23]
  • فك تشفير التجشؤ: يقوم بفك تشفير النص تلقائيًا. [24]
  • Burp Sequencer: يقوم بتحليل متغير الرمز المميز الذي تم إنشاؤه بواسطة التطبيق عبر طلبات HTTP المتكررة لتحديد قوة القدرة على التنبؤ بالعشوائية الزائفة.
  • مُقارن التجشؤ: يسمح للمستخدمين بمقارنة المحتوى الموجود بين طلبين HTTP مختلفين أو استجابات HTTP. [25]
  • Burp Extender: راجع قسم اضافات البرب سويت أدناه؛ تقتصر بعض مكونات Burp Suite على التفاعل مع الإصدار الاحترافي فقط فعلا وبعض الناس يظنون ان اداة Burp Suite مفتوحة المصدر وهذا غير صحيح اطلاقا. [26]

النسخة الاحترافية

عدل

يتضمن الإصدار الاحترافي من Burp Suite الذي يتم استخدامه من قبل المختبرين في الشركات والافراد جميع ميزات المجتمع بالإضافة إلى تلك المدرجة أدناه.

  • Burp Scanner: يقوم بأتمتة تدقيق التقارير و/أو البحث على الويب عن الطلبات/الاستجابات التي تم التقاطها عبر HTTP. يستخدم قواعد داخلية لمراجعة المحتويات من استجابات HTTP التي تم اعتراضها من أجل البحث عن قيم الاستجابة المعرضة للخطر. يتيح للمستخدمين تخصيص سرعات الماسحات الضوئية وتغطية النتائج.
  • لوحة معلومات التجشؤ: تعرض النتائج وتصنف المشكلات بناءً على شدتها. [27] يمكن توفير أوصاف تفصيلية وخطوات الإصلاح بناءً على نوع النتيجة. [28]
  • Burp Intruder: على غرار Burp Repeater على نطاق أوسع، يمنح المستخدمين الوسائل لإرسال طلبات HTTP متوازية متعددة مع تغييرات على متغيرات الطلب المحددة. [29]
  • Burp Collaborator: يحاكي استضافة خادم C2 لمحاولة التفاعل مع الخدمة الخارجية والهجمات خارج النطاق. [30]
  • منظم التجشؤ: يسمح للمستخدمين بتنظيم طلبات/استجابات HTTP المحددة في مجموعة محفوظة. [31]
  • Burp Infiltrator: وكيل IAST تم تصميمه لأتمتة المسح التفاعلي/وقت التشغيل وتوصيل النتائج من خلال ميزة Burp Collaborator. [32]
  • Burp Clickbandit: أداة لإثبات مفهوم اختبار هجمات النقر على ملفات HTML وJavaScript في الواجهة الأمامية لتطبيقات الويب. [33]
  • حفظ الملفات: يسمح الإصدار الاحترافي للمستخدمين بحفظ مشاريعهم كملفات ".burp". [34]

اضافات البرب سويت

عدل

يقدم BApps Burp Suite متجرًا للإضافات [35] حيث يمكن للمستخدمين تحميل وتنزيل المكونات الإضافية للوظائف غير المدعومة بشكل أصلي. تختلف المكونات الإضافية المختلفة في الوظائف، بدءًا من التعديلات على قابلية قراءة واجهة المستخدم، والإضافات إلى قواعد الماسح الضوئي، وتنفيذ ميزات جديدة تعتمد على التحليل, وايضا انت لست ملزم بتلك الاضافات فقط يمكنك صنع الاضافات الخاصة بك باستخدام BApp API.

تعتبر واجهة برمجة تطبيقات تمديد Burp Suite مفتوحة المصدر. [36] [37] يتم دعم مكونات Java الإضافية بشكل أصلي، في حين تتطلب الإضافات التي تستخدم Python وRuby من المستخدمين تنزيل ملفات JAR لـ Jython وJRuby على التوالي. [38]

يمكن تنزيل الاضافات بصيغ مثل py, jar و rb الان من ما يقرب من عشرة سنين وتلك اللغات فقط المدعومة من بورت سويجر لاداة البرب سويت.

كما قام موظفو Portswigger بإنشاء العديد من مكونات Burp الإضافية كوسيلة لتطوير إثبات المفاهيم للأبحاث التي أجرتها الشركة. [39] تتضمن الأمثلة على ذلك الامتدادات التي أنشأها جيمس كيتل، مدير الأبحاث في شركة بورتسويجر، [40] بما في ذلك Backslash Powered Scanner، [41] [42] Param Miner، [43] [44] وHTTP Request Smuggler. [45] [46] نعم وكما قلنا فوق جيمس كاتل مطور اداة Active++ هو مسؤول بحث امني في شركة بورت سويجر.

BChecks

عدل

تمت إضافة BChecks إلى Burp Suite في يونيو 2023 [47] كوسيلة للسماح للمستخدمين بإنشاء قواعد اكتشاف الثغرات الضوئي الخاصة بهم وتخصيصها. [48] كما يريدون يتم صيانة مجموعة مختارة من BChecks بواسطة Portswigger من خلال مشروع GitHub مفتوح المصدر ولها طريقة كتابة خاصة بها وبسيطة. [49]

بامباداس

عدل

يمكن للمستخدمين كتابة نصوص Java لإنشاء تصفية مخصصة لمؤشرات طلبات/استجابات HTTP في قوائم HTTP History وWebSocket History وLogger الخاصة بـ Burp Suite. [50] [51] هذه ميزة بسيطة كما تري ولكن لها استخدامات عدة منها بعض من المستخدمين صنع نص لوضع علامات علي الطلبات لوضعها كادلة علي الثغرات وهو ياخذ صورة للشاشة.

انظر أيضا

عدل

مراجع

عدل
  1. ^ ا ب "Professional / Community 2024.10.3 | Releases". اطلع عليه بتاريخ 2024-11-30.
  2. ^ Rahalkar، Sagar Ajay (2021). A Complete Guide to Burp Suite: Learn to Detect Application Vulnerabilities. Apress. ISBN:978-1-4842-6401-0.
  3. ^ Lozano، Carlos A.؛ Shah، Dhruv؛ Walikar، Riyaz Ahemed (28 فبراير 2019). Hands-On Application Penetration Testing with Burp Suite. Packt Publishing. ISBN:9781788995283.
  4. ^ PortSwigger. "About". PortSwigger. اطلع عليه بتاريخ 2024-07-09.
  5. ^ PortSwigger (9 يوليو 2020). "Ask me anything, with Burp Suite creator Dafydd Stuttard". YouTube. اطلع عليه بتاريخ 2020-07-09.
  6. ^ Rose، Adam (21 أبريل 2023). "Proxy VM Traffic Through Burp Suite". FortyNorth Security. اطلع عليه بتاريخ 2024-07-09.
  7. ^ Setter، Matthew (6 ديسمبر 2017). "Introduction to Burp Suite". Web Dev With Matt. اطلع عليه بتاريخ 2017-12-06.
  8. ^ Lavish، Zandt. "Intro to Burp Suite Automatic Scanning". GreatHeart. اطلع عليه بتاريخ 2022-07-12.
  9. ^ Shelton-Lefley، Tom. "Web Application Cartography: Mapping Out Burp Suite's Crawler". PortSwigger. اطلع عليه بتاريخ 2021-03-05.
  10. ^ PortSwigger. "HTTP/2 Normalization in the Message Editor". PortSwigger. اطلع عليه بتاريخ 2024-07-09.
  11. ^ Stuttard، Dafydd. "Introducing Burp Collaborator". PortSwigger. اطلع عليه بتاريخ 2015-04-16.
  12. ^ Stuttard، Dafydd. "Introducing Burp Sequencer". PortSwigger. اطلع عليه بتاريخ 2007-10-21.
  13. ^ "Java Deserialization Scanner". GitHub. اطلع عليه بتاريخ 2024-07-09.
  14. ^ "Autorize". GitHub. اطلع عليه بتاريخ 2024-07-09.
  15. ^ جميس كاتل، جميس (23 يونيو 2014). "Active++". جيت هاب اضافة Active++. اطلع عليه بتاريخ 2025-01-12. {{استشهاد ويب}}: الوسيط |مسار أرشيف= غير صحيح: علامة (مساعدة)صيانة الاستشهاد: url-status (link)
  16. ^ ""Burp Suite : Home page"". portswigger.net (بالإنجليزية). Retrieved 2016-02-24.
  17. ^ PortSwigger. "Proxy". PortSwigger. اطلع عليه بتاريخ 2024-07-09.
  18. ^ Setter، Matthew (9 فبراير 2018). "How to Intercept Requests and Modify Responses With Burp Suite". YouTube. اطلع عليه بتاريخ 2018-02-09.
  19. ^ "Burp Suite 101: Exploring Burp Proxy and Target Specification". Hacklido. 15 أكتوبر 2023. اطلع عليه بتاريخ 2023-10-15.
  20. ^ PortSwigger. "Full Crawl and Audit". PortSwigger. اطلع عليه بتاريخ 2024-07-09.
  21. ^ Aggarwal، Sahil (11 يناير 2023). "BurpSuite Logger Secrets for Pentesters". CertCube Blog. اطلع عليه بتاريخ 2023-01-11.
  22. ^ Pradeep. "Filtering Burp Suite HTTP History". Study Tonight. اطلع عليه بتاريخ 2023-06-02.
  23. ^ TryHackMe. "Burp Suite Repeater". TryHackMe. اطلع عليه بتاريخ 2024-07-09.
  24. ^ Chandel، Raj (24 يناير 2018). "BurpSuite Encoder Decoder Tutorial". Hacking Articles. اطلع عليه بتاريخ 2018-01-24.
  25. ^ Salame، Walid (9 أبريل 2024). "How to Use Burp Decoder". KaliTut. اطلع عليه بتاريخ 2024-04-09.
  26. ^ PortSwigger. "Installing Extensions". PortSwigger. اطلع عليه بتاريخ 2024-07-09.
  27. ^ PortSwigger. "Dashboard". PortSwigger. اطلع عليه بتاريخ 2024-07-09.
  28. ^ PortSwigger. "Vulnerabilities List". PortSwigger. اطلع عليه بتاريخ 2024-07-09.
  29. ^ FireCompass (31 أكتوبر 2023). "Mastering Burp Intruder Attack Modes". FireCompass Blog. اطلع عليه بتاريخ 2023-10-31.
  30. ^ PortSwigger. "OAST". PortSwigger. اطلع عليه بتاريخ 2024-07-09.
  31. ^ PortSwigger. "Organizer". PortSwigger. اطلع عليه بتاريخ 2024-07-09.
  32. ^ Stuttard، Dafydd. "Introducing Burp Infiltrator". PortSwigger. اطلع عليه بتاريخ 2016-07-26.
  33. ^ Roof، Zach. "Learn Clickjacking With Burp Suite". Teachable. اطلع عليه بتاريخ 2024-07-09.
  34. ^ PortSwigger. "Manage Project Files". PortSwigger. اطلع عليه بتاريخ 2024-07-09.
  35. ^ PortSwigger. "BApp Store". PortSwigger. اطلع عليه بتاريخ 2024-07-09.
  36. ^ PortSwigger. "Creating Extensions". PortSwigger. اطلع عليه بتاريخ 2024-07-09.
  37. ^ "Burp Extensions Montoya API". GitHub. اطلع عليه بتاريخ 2024-07-09.
  38. ^ "TryHackMe Burp Suite Extensions". Medium. اطلع عليه بتاريخ 2024-03-21.
  39. ^ PortSwigger. "Research". PortSwigger. اطلع عليه بتاريخ 2024-07-09.
  40. ^ PortSwigger. "Meet the Swiggers: James K". PortSwigger. اطلع عليه بتاريخ 2024-07-09.
  41. ^ "Backslash Powered Scanner". GitHub. اطلع عليه بتاريخ 2024-07-09.
  42. ^ Kettle، James. "Backslash Powered Scanning: hunting unknown vulnerability classes". PortSwigger Research. اطلع عليه بتاريخ 2016-11-04.
  43. ^ "Param Miner". GitHub. اطلع عليه بتاريخ 2024-07-09.
  44. ^ Kettle، James. "Practical Web Cache Poisoning". PortSwigger Research. اطلع عليه بتاريخ 2018-09-09.
  45. ^ "HTTP Request Smuggler". GitHub. اطلع عليه بتاريخ 2024-07-09.
  46. ^ Kettle، James. "HTTP Desync Attacks: Request Smuggling Reborn". PortSwigger Research. اطلع عليه بتاريخ 2019-09-07.
  47. ^ PortSwigger. "Professional Community 2023.6". PortSwigger. اطلع عليه بتاريخ 2024-07-09.
  48. ^ "Use BCheck to Improve Vulnerability Scanning". YesWeHack. اطلع عليه بتاريخ 2023-09-01.
  49. ^ "BChecks". GitHub. اطلع عليه بتاريخ 2024-07-09.
  50. ^ Stocks، Emma. "Introducing Bambdas". PortSwigger. اطلع عليه بتاريخ 2023-11-14.
  51. ^ "Bambdas". GitHub. اطلع عليه بتاريخ 2024-07-09.

روابط خارجية

عدل
مجلوبة من «https://ar.wikipedia.org/wiki/برب_سويت»