Suite)の利用2021/2/26コラムkatoTweetShare1.初めにWebアプリケーションにてセキュリティの検証を行う場合、Webサーバとブラウザ間にて、どのようなデータ(パラメータとその値)を送って、そのレスポンスを受けているのかを確認したい場合があると思います。このような場合、ローカルプロキシーツールがあると便利です。ローカルプロキシーツールは、Webサーバとブラウザ間のデータのやり取りを中間で受けることが出来るツールです。クライアントマシン上で動作します。・ローカルプロキシーの仕組みローカルプロキシーツールを使うと下記のことが出来るようになります。・hiddenパラメータのようにユーザが入力できない項目でも、任意のパラメータ値を簡単に指定することができます。・ブラウザからのリクエストをローカルプロキシーツールにて一旦キャプチャして、内容を変更した上でWebサーバへリクエストすることが可能です。Suiteといった製品があります。Suiteを紹介します。社が提供している製品です。Edition」があります。Edition」は機能制限がありますが、Webサーバとブラウザ間のデータのやり取りを確認・編集する目的ならば、問題なく利用出来ます。Suiteには、下記のプラットフォーム用のプログラムが提供されています。Environment)のインストールが必要です。2-1.インストールインストール手順となります。今回は、Windows版の手順を説明します。Editionをダウンロードします。Edition_https://portswigger.net/burp/communitydownload2021年12月時点の最新バージョンは、「2020.11.3」となります。以後、バージョン「2020.11.3」で説明します。(64-bit)が」を選択します。2ダウンロードが完了しましたら、ダウンロードしたプログラム(burpsuite_community_windows-x64_v2020_11_3.exe)を実行します。Wizard」画面が表示されます。「Next」ボタンを押して進みます。Directory」画面が表示されます。インストール先ディレクトリが表示されますので、問題がなければ「Next」ボタンを押して進みます。Folder」画面が表示されます。Edition」が入った状態となっています。問題がなければ「Next」ボタンを押して進みます。6インストールが始まります。Wizard」画面が表示されます。これでインストールが完了です。「Finish」ボタンを押して終了します。Suiteを起動します。Conditions」画面が表示されます。performance」チェックボックスにチェックが入っている状態となっています。Burpのパフォーマンス改善のため、匿名のフィードバックを送信しても良いという方はそのままで、そうでない方はチェックを外します。Accept」ボタンを押します。project.」画面が表示されます。project」ラジオボタンが選択されています。そのまま「Next」ボタンを押して進みます。project.」画面が表示されます。defaults」にラジオボタンが選択されています。Burp」ボタンを押して進みます。SuiteのDashboardタブの画面が表示されます。先頭にDashboardタブがあるため、最初にDashboardタブの画面が表示されますが、タブはマウスでドラックすることで移動可能です。Suiteにて準備を行う必要があります。Suiteの画面の「Proxy」タブを選択して「Proxy」画面を表示します。「Proxy」画面の「Options」タブを選択して設定画面を表示します。Listeners」にてローカルプロキシポートの設定を行います。デフォルトでは、ループバックアドレス(127.0.0.1)の8080/TCPポートが設定されています。8080/TCPを利用していて変更の必要がある場合は、「Options」タブから「Edit」ボタンにより利用していない任意のポート番号へ変更することができます。問題なければこのままの値で使用します。Responses」にてレスポンス取得設定を行います。rules:」のチェックを入れます。Suiteで設定したポートと同じポート番号をブラウザのプロキシサーバのポートとして設定します。下記は、FireFoxを例として説明しています。1FireFoxのメニューを開き、オプションを選択します。「オプション」画面が表示されます。画面の一番下にある「ネットワーク設定」の「接続設定...(E)」ボタンを押して進みます。3「インターネット接続」画面が表示されます。デフォルトで「システムのプロキシー設定を利用する(U)」ラジオボタンが選択されています。「手動でプロキシーを設定する(M)」ラジオボタンを選択して、入力可能な状態にします。BurpSuiteで設定したポートと同じポート番号をブラウザのプロキシサーバのポートとして設定します。下にある「このプロキシーをFTPとHTTPSでも使用可能にする(S)」のチェックボックスにチェックを入れます。「OK」ボタンを押します。Suiteを使う準備が整いました。SuiteにてWebサーバとブラウザ間のデータのやり取りを中間で確認・変更する方法をご説明します。1ブラウザで評価したい対象画面へアクセスします。3ブラウザで開いた対象画面を操作します。4対象画面の操作によりサーバへのリクエストが発生すると、送信リクエストが一旦BurpSuite上にキャプチャされます(リクエストはまだサーバへ到達していません)。Parameters」を選択することでリクエストされるパラメータ一覧を確認することができます。パラメータ一覧のパラメータの行を選択することで、対象パラメータの項目にアクセス出来ます。この状態ではパラメータ名(NAME)や値(VALUE)を変更することが出来るため、リクエストされる値を任意のものへ変更することができます。Changes」ボタンを押します。Changes」ボタンを押すとリクエストに変更内容が反映されます。Forwardボタンを押すと、キャプチャされた内容がサーバへリクエストされ、その結果(サーバからのレスポンス)がキャプチャされます。続けてForwardボタンを押すと、キャプチャされた内容がブラウザに表示されます。以降は、1から6の繰り返しになります。Suiteを使ったWebサーバとブラウザ間のデータのやり取りを中間で確認・変更する方法を簡単にご説明しました。こちらは診断項目として基本的なものが紹介されておりますので、ご参照下さい。(Webアプリケーション編)」をご参照下さい。(Webアプリケーション編)」https://www.ipa.go.jp/security/awareness/vendor/programmingv2/web.htmlなお、これら内容は自らが管理しているサイト以外への実施は厳禁となりますので、ご注意下さい。TweetSharekatoエンジニア投稿者プロフィール加藤です。セキュリティの技術者やってます。ネットワーク診断とツールによるWebアプリケーション診断を中心に業務を実施してます。5年程度やってきたので、とりあえずCISSP取ってみました。IPA「安全なウェブサイトの作り方」第1章のHTML版が公開されました。「安全なウェブサイトの作り方」第1章のHTML版が公開されました。IPA「安全なウェブサイトの作り方」第1章のHTML版が公開されました。