【トラフィック傍受】Burp Suite Community Editinの導入方法+動作確認付き【プロキシツール】
はじめに
ゼロデイの調査を行う際や脆弱性診断を実施する際のベストプラクティスとして、プロキシツールであるBurp Suiteがよく使用されています。
厳密にはBurp SuiteのProfessionalが使用されていますが、年間$449の有償ライセンスが必要のため、今回は無償版のCommunity Editionを導入します。
導入フロー
環境
- OS：Windows10
- プロキシツール：Burp Suite Community Edition Ver.2023.2.4
Burp Suite（プロキシツール）のインストール
Burp Suiteを開発しているPort Swigger社の公式HPにアクセスした後、DOWNLOADボタンを押してインストーラをダウンロードします。
ダウンロードしたインストーラをダブルクリックで実行します。
セットアップウィザードが起動しウェルカムページが表示されるのでNextボタンを押します。
インストール先を指定するよう求められますが、デフォルト設定で問題ないので特に何も触らずにNextボタンを押します。
Burp Suiteを起動するためのショートカット設定の有無を求められます。
後々起動が楽になるのであったほうが良いのですが、デフォルトで作成を行う設定が選択されているので特に何も触らずにNextボタンを押します。
インストールプロセスが開始するため、１分ほど待機します。
完了したのでFinishボタンを押してセットアップウィザードを終了します。
デスクトップ画面左端下にあるWindowsロゴマークを押した後、最近追加されたもの項目にあるBurp Suite Community Editionを選択します。
Burp Suiteが起動した後、規約への同意を求められます。
その際にシステム改善のための匿名フィードバック情報をPortSwigger社に送信するかを求められるチェックボックスが表示されますが、此方は個人のお好みでON/OFFにしてください。
I Acceptボタンを押して同意します。
次に、プロジェクトファイル（自身の作業内容を保存するやつ）の作成や読み込みを行うページが表示されます。
無償版では保存ができないため特に何も触らずにNextボタンを押します。
今度はBurp Suite内の設定ファイルを読み込むページです。
パッと見ではどのような機能かわかりづらいですが、無償版や有償版にかかわらずBurp Suiteを終了した際に初期化されてしまう設定項目をファイルとしてインポートできます。
筆者が脆弱性診断を実施する際はアクティブスキャン時のマクロファイル等をインポートしてました。（組むの面倒なので）
今回は特にインポートしたいファイルがないので、特に何も触らずにStart Burpボタンを押します。
Burp Suiteが起動され、Learnページが表示されました。
これにてBurp Suiteの導入は完了です。
Firefox（Webブラウザ）のインストール
Burp Suite単体だけでは機能せず、肝心のトラフィックを発生させるツールが必要となります。
今回はWebブラウザからのトラフィックを傍受したいので、Firefoxを導入します。
各々好みのWebブラウザでBurp Suiteとの疎通を行うことが可能ですが、Webブラウザごとに疎通設定方法が異なるため、Firefox以外で疎通を行いたい場合は方法を記事化しますのでご連絡ください。
まずはFirefoxを開発しているMozilla社の公式HPにアクセスした後、Firefox をダウンロードボタンを押してインストーラをダウンロードします。
ダウンロードしたインストーラを実行します。
インストールが完了するとデスクトップ画面にショートカットアイコンが生成されます。
ダブルクリックしてFirefoxを起動します。
画面右端上にある三ボタンを押した後、設定項目に移ります。
一般カテゴリから接続設定…ボタンを押します。
手動でプロキシーを設定するラジオボタンにチェックし、HTTP プロキシー入力フォームにlocalhost、ポート入力フォームに8080、そしてこのプロキシーを HTTPS でも使用するのチェックをONにします。
すべての設定が完了した後にOKボタンを押します。
ブラウザのアドレスバーにlocalhost:8080と入力してリクエストを送信します。
するとBurp Suiteに仮接続され証明書のダウンロードを促されるため、CA Certificateボタンを押してダウンロードします。
ダウンロードした証明書は下画像のようになります。
ダウンロードした証明書をブラウザにインポートします。
再度設定項目を開き、プライバシーとセキュリティカテゴリから証明書を表示…ボタンを押します。
インポート…ボタンを押します。
先ほどダウンロードした証明書を選択します。
信頼できる認証局としてウェブサイトとメールユーザーの両方のチェックをONにします。
これでFirefoxから送信したリクエストをBurp Suiteが傍受してくれるはずです。
動作確認
それでは、試しにFirefoxで「TEST」という文字列でGoogle検索してみましょうか。
Burp SuiteのProxy HTTP Historyを確認した際にリクエストが表示されていることが確認できますね。（赤マーカー）
以上となります。おつかれさまでした。
まとめ
当記事では手順を詳細に解説しているため長く感じたと思います。
しかしながら、慣れてしまえば導入から疎通完了まで数分で完了させることができるので、一通りのフローを覚えておくことを推奨します。
また、今回はWindows10に導入しましたが、Windows11でも同様の手順で導入できると思います。
※Burp Suiteも全バージョンで同様の手順でOK
別途リクエストがあればLinux環境での導入方法も記事化しますのでご連絡ください。
Discussion