Học phần: An toàn mạng Đề tài: Rà quét lỗ hổng bằng công cụ Burp Suite

HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG
KHOA CƠNG NGHỆ THƠNG TIN 1

Học phần: An tồn mạng
Đề tài: Rà qt lỗ hổng bằng cơng cụ Burp Suite
Nhóm lớp: 01

Giảng viên hướng dẫn: TS. Đặng Minh Tuấn
Sinh viên thực hiện: Nguyễn Mạnh Hiếu
Mã sinh viên: B18DCAT087
Lớp: B18DCAT087
Số điện thoại: 0766356056

Hà Nội, 12/2021


LỜI MỞ ĐẦU
Số lượng các trang web có xu hướng phát triển theo cấp số nhân từ năm này qua
năm khác. Theo như Internet Live Stats, số lượng trang web trong năm 2017 gần như gấp
đôi so với năm 2016. Hiện tại, có khoảng 2 tỉ trang web đang hoạt động trên Internet. Điều
này có nghĩa là có đến 2 tỉ mục tiêu xâm nhập tiềm tàng cho tội phạm mạng.
Ngồi số lượng tăng theo thời gian thì độ phức tạp của các trang web cũng tăng theo
thời gian, đồng nghĩa với việc chúng khó được bảo mật hơn. Các hệ thống càng ngày càng
tích hợp sâu ứng dụng web và đang có xu hướng chuyển lên cloud để có thể kết nối nhiều
hệ thống với nhau. Điều này khiến cho một cuộc tấn cơng vào ứng dụng web có khả năng
dẫn đến nguy cơ mất điều khiển toàn bộ hệ thống.
Đứng trước những nguy cơ tiềm tàng như vậy, việc bảo mật ứng dụng web là cấp
bách hơn bao giờ hết. Và Burp Suite là một trong những công cụ kiểm tra thâm nhập và tìm
lỗ hổng phổ biến nhất và thường được sử dụng để kiểm tra bảo mật ứng dụng web. Burp
Suite là một công cụ dựa trên proxy được sử dụng để đánh giá tính bảo mật của các ứng
dụng dựa trên web và thực hiện kiểm tra thực hành. Burp Suite là trình quét lỗ hổng bảo

mật trên web được sử dụng rộng rãi nhất trên thế giới.


LỜI MỞ ĐẦU .......................................................................................................... 2
CHƯƠNG 1: GIỚI THIỆU VỀ BURP SUITE ........................................................ 4
Bảo mật khơng cịn là tùy chọn ............................................................................ 4
Công cụ Burp Suite .............................................................................................. 4
Các phiên bản ....................................................................................................... 6
Cách thức hoạt động ............................................................................................. 6
Các tính năng nổi bật ............................................................................................ 7
CHƯƠNG 2: CÀI ĐẶT VÀ SỬ DỤNG BURP SUITE .......................................... 8
1. Cài đặt Burp Suite ............................................................................................ 8
1.1 Cài Burp Suite trên Windows ..................................................................... 8
1.2. Cài đặt trên Linux [4] .............................................................................. 12
1.3. Thiết lập Proxy cho trình duyệt ............................................................... 14
1.4. Cài đặt chứng chỉ cho burp để bắt các request website https ................. 17
2. Sử dụng Burp Suite ........................................................................................ 20
2.1. Khởi động Burp Suite .............................................................................. 20
CHƯƠNG 3: Demo Scan trang web với Burp Suite Scanner ............................... 23
CHƯƠNG 4: Đánh giá và kết luận ........................................................................ 43
LỜI CẢM ƠN......................................................................................................... 45


CHƯƠNG 1: GIỚI THIỆU VỀ BURP SUITE
Bảo mật khơng cịn là tùy chọn
Chương 1 đã cho thấy cái nhìn tổng quan về an toàn bảo mật ứng dụng web hiện
nay. Thế nhưng trên thực tế, việc đảm bảo an toàn bảo mật cho ứng dụng web đang bị xem
thường và không nằm trong danh mục ưu tiên của các doanh nghiệp, tổ chức. Điểm mạnh
của ứng dụng web là chúng có thể truy cập 24/7 song các ứng dụng web khơng đảm bảo
an tồn cũng có thể bị tấn cơng bất cứ lúc nào.

Có một quan niệm lỗi thời rằng việc bảo mật phần mềm chỉ là một quá trình thử
nghiệm khiến tiến độ công việc chậm lại [1]. Nhưng bảo mật lại là một phần rất quan trọng
đối với 1 sản phẩm. Chẳng người dung nào lại muốn cung cấp thơng tin mà lại có thể bị lộ
ra bên ngoài.
Các ứng dụng web cũng vậy. Được thiết kế để người dùng có thể thu thập hoặc gửi
lên các thơng tin cá nhân bao gồm cả các thông tin nhạy cảm. Nếu những ứng dụng web
này không đảm bảo an tồn bảo mật thì tồn bộ cơ sở dữ liệu lưu trữ thông tin nhạy cảm
của người dùng sẽ đứng trước nguy cơ bị tấn công. Một vài nghiên cứu đã chỉ ra rằng
khoảng 75% vụ tấn công mạng được thực hiện ngay trên ứng dụng web. Đứng trước nguy
cơ này, cần có các phương pháp giúp đảm bảo an toàn bảo mật cho ứng dụng web. Các
phương pháp này thường là các kĩ thuật rà quét và phát hiện các lỗ hổng bảo mật trong ứng
dụng web, từ đó người quản trị có thể vá các lỗ hổng đó trước khi hacker khai thác để thực
hiện tấn công.
Công cụ Burp Suite
Burp hoặc Burp Suite là một bộ công cụ được sử dụng để kiểm tra xâm nhập các ứng
dụng web. Nó được phát triển bởi cơng ty có tên Portswigger. Đó cũng là bí danh của người
sáng lập Dafydd Stuttard. BurpSuite là một bộ công cụ tất cả trong một và khả năng của
BurpSuite có thể được nâng cao bằng cách cài thêm các tiện ích bổ sung (extension) được
gọi là BApps. Tính dễ sử dụng của BurpSuite làm cho nó trở thành một sự lựa chọn phù
hợp hơn với các lựa chọn thay thế miễn phí như OWASP ZAP [2]
Đây là một trong những công cụ kiểm tra thâm nhập và tìm lỗ hổng phổ biến nhất và
thường được sử dụng để kiểm tra bảo mật ứng dụng web. Burp Suite là một công cụ dựa
trên proxy được sử dụng để đánh giá tính bảo mật của các ứng dụng dựa trên web và thực
hiện kiểm tra thực hành. Với hơn 58000 người dùng, Burp Suite là trình quét lỗ hổng bảo
mật trên web được sử dụng rộng rãi nhất trên thế giới.


Hình 1.0.1 BurpSuite được sử dụng rộng rãi trên tồn thế giới

Hình 1.0.2 Cơng cụ BurpSuite

Các phiên bản

Hình 1.0.3 Các phiên bản của Burp Suite

− Burp Suite Enterprise Edition:
• Trình qt lỗ hổng bảo mật trên web do doanh nghiệp.
• Có thể tự động hóa và mở rộng quy mô quét lỗ hổng bảo mật trên web để bảo
vệ tổ chức và khách hàng.
• Được sử dụng bởi AppSec leaders, đội kỹ thuật, DevSecOps
− Burp Suite Professional:
• Bộ cơng cụ kiểm tra xâm nhập web số 1 thế giới
• Bộ cơng cụ được nhiều chun gia tin cậy để kiểm tra hiệu quả các ứng dụng
web, giúp tìm được ra nhiều lỗ hổng hơn, nhanh hơn
• Được tin cậy bởi hơn 50.000 penetration testers và bug bounty hunters.
− Burp Suite Community Edition:
• Gồm các cơng cụ tốt nhất để bắt đầu kiểm tra bảo mật web
• Miễn phí cho tất cả mọi người sử dụng nhưng sẽ ít tính năng hơn 2 phiên bản
trên
Cách thức hoạt động


Các tính năng nổi bật
−

Interception Proxy: Được thiết kế để bắt các request từ đó có thể tùy ý sửa đổi
trước khi các request này được gửi lên server.

−

Repeater: Cho phép sử dụng một request trước đó và tùy sửa đổi nội dung request
một cách nhanh chóng nhiều lần khác nhau. Sau đó có thể gửi request đi tiếp với
nội dung vừa sửa.

−

Intruder: Tự động hóa việc gửi hàng loạt các request có chứa các payload tương tự
nhau lên server.

−

Decoder: Decode và encode string theo các format khác nhau (URL, Base64,
HTML,…).

−

Comparer: Chỉ ra sự khác nhau giữa các requests/responses

−

Extender: API để mở rộng chức năng của Burp Suite. Có thể download các
extensions thông qua Bapp Store.

−

Spider & Discover Content: Crawl link có trong ứng dụng web.

−

Scanner (chỉ có trong bản Pro): Một mô đun khác mạnh mẽ, giúp tự động quét các
lỗ hổng trong ứng dụng web (XSS, SQLi, Command Injection, File Inclusion,…).


CHƯƠNG 2: CÀI ĐẶT VÀ SỬ DỤNG BURP SUITE
1. Cài đặt Burp Suite
Yêu cầu:
Burp Suite viết bằng Java. Vậy nên, máy phải cài Java nếu muốn sử dụng Burp Suite

 Cần phải cài đặt java (jdk) trước khi cài đặt công cụ này. Tải và cài đặt java jdk theo
link Link tải java jdk
1.1 Cài Burp Suite trên Windows
Bước 1: Tải Burp Suite bản mới nhất trên trang chủ. Sẽ có 3 lựa chọn phiên bản Enterprise
+ Professional ( mất phí) và Community (bản miễn phí)
/>
Hình 2.0.1 Tải Burp Suite từ trang chủ PortSwigger

Ở đây sẽ chọn phiên bản Community để tải về


Hình 2.0.2 Tải Burp Suite community từ trang chủ

Nhập email và ấn download

Hình 2.0.3 Chọn phiên bản và loại máy

Chọn phiên bản cho windows và tải về file exe. Ngoài ra có thể download file jar về để
chạy file java
Bước 2: Mở trình cài đặt tiến hành cài đặt Burp Suite, chọn “Next” khi được yêu cầu.

Hình 2.0.4 Trình cài đặt Burp Suite

Bước 3: Chọn nơi cài đặt Burp Suite, cần tối thiểu 294 MB


Hình 2.0.5 Chọn nơi cài đặt Burp Suite

Bước 4: Chọn “Finish” để thốt khỏi trình cài đặt khi đã xong.

Hình 2.0.6 Cài đặt xong


1.2. Cài đặt trên Linux [3]
Bước 1: Tương tự như phần Windows, lên trang chủ của burp suite để tải phiên bản cho
Linux về

Hình 2. 0.7 Tải phiên bản Burp Suite cho Linux

Bước 2: Khi Downl xong thì ta sẽ có 1 file .sh. Chạy lệnh để cấp quyền cho file .sh đó
chmod +x burpsuite_community_linux_v2020_1.sh

Hình 2.0.8 Cấp quyền cho file .sh của Burp Suite

Bước 3: Khi các quyền đã được cấp, thực thi file đó bằng lệnh
Sh ./burpsuite_community_linux_v2020_1.sh
Bước 4: Một GUI hiện ra, chọn “Next”


Hình 2.0.9 Thực thi file .sh để cài burp suite

Bước 5: Chọn thư mục để lưu và ấn “Next”

Hình 2.0.10 Chọn nơi cài Burp Suite


Bước 6: Phần mềm sẽ được cài. Sau khi cài xong ấn “Finish”

Hình 2.0.11 Hình ảnh cài đặt xong Burp Suite

1.3. Thiết lập Proxy cho trình duyệt
Để có thể sử dụng Burp Suite trên trình duyệt của mình thì cần thiết lập Proxy trên Firefox
hoặc Chrome,.... Dưới đây sẽ là hướng dẫn cài đặt trên firefox [4]
Bước 1: Trong firefox, chọn Preferences > Options.


Hình 2.0.12 Hình ảnh mở cài đặt proxy trên firefox

Bước 2: Chọn tab General và cuộn đến cài đặt Network Proxy. Nhấp vào nút Settings.

Hình 2.0.13 Hình ảnh mở cài đặt proxy trên firefox

Bước 3: Chọn tùy chọn Manual proxy configuration
Nhập địa chỉ trình nghe Burp Proxy vào trường HTTP Proxy (theo mặc định, địa chỉ này
được đặt thành 127.0.0.1).


Tiếp theo, nhập Port trình nghe Burp Proxy vào trường Port (theo mặc định, 8080). Đảm
bảo rằng Use this proxy server for all protocols được chọn.

Hình 2.0.14 Cài đặt proxy cho firefox

Bước 4: Xóa bất kỳ thứ gì xuất hiện trong trường No proxy for. Sau đó, nhấp vào OK để
đóng tất cả các hộp thoại tùy chọn.

Hình 2.0.15 Cài đặt proxy cho firefox


1.4. Cài đặt chứng chỉ cho burp để bắt các request website https
Cài đặt chứng chỉ cho burp để có thể bắt các request website https. Cần cài đặt và trust
chứng chỉ của Burp cho trình duyệt
Dưới đây sẽ là hướng dẫn trên Firefox
Yêu cầu: Trước khi cài đặt chứng chỉ CA của Burp, hãy đảm bảo rằng trình nghe proxy
đang hoạt động và đã định cấu hình trình duyệt để hoạt động với Burp
Bước 1: Khi Burp đang chạy, hãy truy cập http: // burpsuite trong Firefox. Ta sẽ được đưa
đến trang có nội dung " Welcome to Burp Suite Professional".
Bước 2: Ở góc trên cùng bên phải của trang, nhấp vào Chứng chỉ CA để tải xuống chứng
chỉ Burp CA duy nhất của bạn. Ghi lại nơi chọn lưu cái này.

Hình 2.0.16 Tải chứng chỉ cho burp suite

Bước 3: Trong Firefox, mở menu và nhấp vào Preferences hoặc Options


Hình 0.17 Hình ảnh hướng dẫn mở cài đặt firefox

Bước 4: Từ thanh điều hướng bên trái màn hình, hãy mở cài đặt Privacy and Security
Cuộn xuống phần Certificates và nhấp vào nút View certificates.

Hình 0.18 Hình ảnh hướng dẫn cài đặt certificates firefox

Bước 5: Trong hộp thoại mở ra, hãy chuyển đến tab Authorities và nhấp vào Import.
Chọn chứng chỉ Burp CA mà bạn đã tải xuống trước đó và nhấp vào Open.


Hình 0.19 Hình ảnh import certificates cho firefox

Bước 6: Khi được nhắc chỉnh sửa cài đặt tin cậy, hãy đảm bảo hộp kiểm This certificate
can identify websites được chọn và nhấp vào OK
Đóng và khởi động lại Firefox. Khi Burp vẫn đang chạy, hãy thử và duyệt đến bất kỳ URL
HTTPS nào. Nếu mọi thứ đã hoạt động, bây giờ bạn có thể duyệt đến trang mà khơng có
bất kỳ cảnh báo bảo mật nào.

Hình 0.20 Hình ảnh khởi chạy firefox sau khi thêm certificates


*Lưu ý: Ở những bản Burp Suite mới đã tích hợp sẵn trình duyệt nhân chronium bên trong
nên khơng cần cài đặt trình duyệt.
2. Sử dụng Burp Suite
2.1. Khởi động Burp Suite
Mở Burp Suite lên như các ứng dụng khác

Hình 0.21 Hình ảnh trang khởi động của burpsuite

Ở đây ta sẽ có 3 lựa chọn
-

Temporary Project: dự án tạm thời
New Project on disk: Tạo dự án mới trên thư mục
Open existing project: Mở project sẵn có

Chọn một cái và ấn next để vào trang chủ của Burp Suite. Ở đây sẽ chọn Temporary Project
để tạo một dự án tạm thời. Lúc này burp suite sẽ chuyển đến tab


Hình 0.22 Hình ảnh trang config khi khởi động burpsuite

Ở đây ta có các lựa chọn sử dụng tệp cấu hình cho Burp Suite hoặc dung Burp default. Nếu
người dùng có file config của burp suite từ trước có thể import vào để sử dụng. Cịn nếu
khơng người dùng có thể dùng burp suite với cấu hình mặc định để sử dụng.
Burp's configuration library [5]:
Mục đích để quản lý các cấu hình Burp khác nhau cho các tác vụ cụ thể.
Ví dụ: Có thể tạo các cấu hình khác nhau cho các kiểu quét khác nhau. Hoặc có thể cần tải
một cấu hình cụ thể khi làm việc trên một tương tác với khách hàng cụ thể. Ta cũng có thể
lưu và tải cấu hình dưới dạng tệp cấu hình.
Thư viện cấu hình của Burp lưu trữ các tùy chọn cấu hình cho các loại tác vụ khác nhau và
làm cho chúng dễ dàng có sẵn khi thực hiện các hành động như khởi chạy scans.
Thư viện cấu hình chứa:


•

Cấu hình dựng sẵn - Đây là những cấu hình được xác định trước hữu ích cho các
mục đích thơng thường. Ví dụ: thực hiện thu thập thơng tin nhanh hoặc chỉ kiểm
tra các lỗ hổng nghiêm trọng.

•

Cấu hình tùy chỉnh - Đây là những cấu hình do người dùng xác định và quản lý.

User and project configuration files
Các tệp cấu hình riêng biệt có thể được sử dụng để quản lý các tùy chọn cấp người dùng
và cấp dự án .
Tệp cấu hình người dùng chứa các tùy chọn liên quan đến môi trường và giao diện người
dùng của từng người dùng
Tệp cấu hình dự án chứa các tùy chọn liên quan đến công việc đang được thực hiện trên
một ứng dụng đích cụ thể
Bạn có thể tải và lưu các tệp cấu hình theo nhiều cách khác nhau:
•

Trong thư viện cấu hình của Burp(Burp's configuration library) , người dùng có
thể xuất hoặc nhập cấu hình dưới dạng tệp cấu hình.

•

Từ menu Burp, có thể tải hoặc lưu các tệp cấu hình cho tất cả các tùy chọn cấp
người dùng hoặc cấp dự án.

•

Từ các bảng cấu hình riêng lẻ trên tồn Burp, có thể sử dụng nút "Tùy chọn" để tải
hoặc lưu cấu hình chỉ cho bảng đó.

•

Trong trình khởi động, khi tạo hoặc mở lại một dự án, người dung có thể chỉ định
một tệp cấu hình để tải các tùy chọn mức dự án.

•

Khi bắt đầu Burp từ dịng lệnh, người dùng có thể sử dụng các đối số dòng
lệnh(command line arguments) để chỉ định một hoặc nhiều tệp cấu hình mà từ đó
tải các tùy chọn cấp người dùng hoặc cấp dự án.

•

Burp extensions có thể tải hoặc lưu nội dung tệp cấu hình thơng qua API.

Định dạng của tệp cấu hình
Các tệp cấu hình sử dụng định dạng JSON. Cấu trúc và lược đồ đặt tên được sử dụng trong
JSON tương ứng với cách mà các tùy chọn được trình bày trong Burp UI.


Ở đây, em sẽ chọn use Burp Suite Default để sử dụng mặc định của Burp Suite. Chọn nút
Start Burp để khởi động Burp Suite. Lúc này Burp Suite sẽ tải những thứ cần thiết để khởi
động
Sau đó người dung sẽ được đưa vào màn hình Dash Board của Burp Suite

Hình 0.23 Trang chính của burp suite

CHƯƠNG 3: Demo Scan trang web với Burp Suite Scanner
3.1 Tạo Scan cơ bản
Burp Suite Scanner là cơng cụ mạnh mẽ để dị qt lỗ hổng, qua đó người dùng có
thể sửa chữa và phịng ngừa những vụ tấn cơng từ bên ngồi.


ở màn hình dashboard chọn new scan để bắt đầu scan một trang web mới


Cấu hình cơng cụ để bắt đầu scan trang web.

-

-

Scan type có 2 kiểu chính:
o Crawl and audit: Burp Suite sẽ thu thập thông tin và gửi những request để
kiểm tra lỗ hổng của trang web.
o Crawl: Burp Suite sẽ chỉ thu thập toàn bộ thành phần của trang web
Thường để rà quét lỗ hổng chúng ta sẽ lựa chọn option crawl and audit
URLs to Scan:
Địa chỉ để chúng ta quét lỗ hổng.

-

Protocol settings: