SSTエンジニアブログ

SSTのエンジニアによるWebセキュリティの技術を中心としたエンジニアブログです。

Burp

Burp で HTTP/2 を無効化(OFF)する方法と、リクエストヘッダー名の大文字小文字にまつわるトラブルシュート

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 今回は診断で遭遇した Burp の奇妙な挙動と、そのトラブルシュートで知った「HTTP2の無効化(OFF)方法」について紹介します。 検証環境: Burp Suite Co…

Burp 2024.1.1 アーリーアダプター版 リリース内容

はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを使用して診断を行う方を対象にしていますので、バグ修正のような細かい変更点については本記事で触れない場合がございます。 原文をご…

2023年Burp Suiteのリリースを振り返る

はじめに Potion CraftがSwitchで発売されたので、ポーション作りにハマって仕事のやる気が起きない岩間です。 今年からBurpのリリースノートを翻訳記事を公開し続けて、早いもので一年が経ちました。あっという間です。 この取り組みは、新しいバージョンが…

Burp 2023.12.1.3 安定版 リリース内容

2/2追記 2023.12.1.3安定版リリースで、2023.12.1のアーリーアダプターの内容が取り込まれたため、本記事も安定版に書き換えております。 はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Bu…

Burp SuiteのGraphQL手動検査ツールさわってみた

はじめに 本記事は、Burp Suite 2023.11.1.3の安定版リリースで追加された、GraphQLの手動検査ツール機能に関する紹介記事になります。 原文をご確認されたい方は、公式のリリースノートをご覧ください。 portswigger.net 機能紹介 これまでのGraphQLに関す…

Burp 2023.11.1.3 安定版 リリース内容

12/13追記 2023.11.1.3安定版リリースで、2023.11のアーリーアダプターの内容が取り込まれたため、本記事も安定版に書き換えております。 はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Bu…

Burp Suiteの新機能Bambdaを使った高度フィルタリング

はじめに 3大登山ゲーの一つと言われるポゴスタックをやっていると、Garminから「高ストレスを感じています!」というアラートが出て、それにイラッとしてしまい仕事のやる気が起きない岩間です。 今回は先月発表された、Burp Suiteの新機能「Bambda」につい…

Burp 2023.10.3.4 安定版 リリース内容

12/04追記 2023.10.3.4安定版リリースで、2023.10.3のアーリーアダプターの内容が取り込まれたため、本記事も安定版に書き換えております。 はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 …

Burp 2023.10.2.2 安定版 リリース内容

はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを使用して診断を行う方を対象にしていますので、バグ修正のような細かい変更点については本記事で触れない場合がございます。 原文をご…

Burp 2023.10.1.1 安定版 リリース内容

10/17追記 2023.10.1.1安定版リリースで、2023.8のアーリーアダプターの内容が取り込まれたため、本記事も安定版に書き換えております。 はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Bur…

Burp 2023.9.1 安定版 リリース内容

8/18追記 2023.9.1安定版リリースで、2023.8のアーリーアダプターの内容が取り込まれたため、本記事も安定版に書き換えております。 はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを…

Burp 2023.7.1 安定版 リリース内容

7/26追記 2023.6.2安定版リリースで、2023.7のアーリーアダプターの内容が取り込まれたため、本記事も安定版に書き換えております。 はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを…

Burp 2023.6.2 安定版 リリース内容

7/10追記 2023.6.2安定版リリースで、2023.6のアーリーアダプターの内容が取り込まれたため、本記事も安定版に書き換えております。 はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを…

Burp Organizerさわってみた

はじめに 本記事は、Burp Suite 2023.5のアーリーアダプター版リリースで追加された Burp Organizer の紹介記事になります。 原文をご確認されたい方は、公式のリリースノートをご覧ください。 portswigger.net 機能紹介 Organizerは、HTTPメッセージのエビ…

Burp 2023.5.2 安定版 リリース内容

6/6追記 2023.5.2安定版リリースで、2023.5のアーリーアダプターの内容が取り込まれたため、本記事も安定版に書き換えております。 はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを使…

Burp 2023.4 安定版 リリース内容

5/16追記 2023.4.3安定版リリースで、2023.4のアーリーアダプターの内容が取り込まれたため、本記事も安定版に書き換えております。 はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを…

Burp IntruderでCollaboratorのペイロードを設定してみる

はじめに 本記事は、Burp Suite 2023.3のアーリーアダプター版リリースで追加された Collaborator payloads in Intruder attacks の紹介記事になります。 原文をご確認されたい方は、公式のリリースノートをご覧ください。 portswigger.net ※ 注意: Burp Sui…

Burp 2023.3.2 安定版 リリース内容

4/17追記 2023.3.2安定版リリースで、2023.3のアーリーアダプターの内容が取り込まれたため、本記事も安定版に書き換えております。 はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを…

Burp 2023.1.3 安定版 リリース内容

はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを使用して診断を行う方を対象にしていますので、バグ修正のような細かい変更点については本記事で触れない場合がございます。 原文をご…

Burp 2023.2.3 安定版 リリース内容

3/27追記 2023.2.3安定版リリースで、2023.2のアーリーアダプターの内容が取り込まれたため、本記事も安定版に書き換えております。 はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを…

Burp 2023.1.2 安定版 リリース内容

2/10追記 2023.1.2安定版リリースで、2023.1のアーリーアダプターの内容が取り込まれたため、本記事も安定版に書き換えております。 はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを…

2022年のAndroidにおけるProxy設定と NET::ERR_CERTIFICATE_TRANSPARENCY_REQUIRED の回避方法

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 本記事では Android で burp などMITM型*1 のProxyを設定する方法と、Android版 Chrome 99 以上で発生する NET::ERR_CERTIFICATE_TRANSPARENCY_REQUIRE…

Burp 2022.12.4 安定版 リリース内容

はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを使用して診断を行う方を対象にしていますので、バグ修正のような細かい変更点については本記事で触れない場合がございます。 原文をご…

Burp 2022.12 アーリーアダプター版 リリース内容

はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを使用して診断を行う方を対象にしていますので、バグ修正のような細かい変更点については本記事で触れない場合がございます。 原文をご…

Burp 2022.11.2 安定版リリース内容

はじめに この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。 Burpを使用して診断を行う方を対象にしていますので、バグ修正のような細かい変更点については本記事で触れない場合がございます。 原文をご…

Raspberry Pi 4 を使ったスマホ向け透過型Proxy環境の構築

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 前回の記事では Raspberry Pi 4 Model B Starter Kit (以下「ラズパイ」) をセットアップしました。 本記事では WiFi AP 化した上で、HTTP(S) アクセス…

Burp の Invisible(透過型) Proxy の仕組みと使い方

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 先日、Proxy によりHTTPリクエストがどのように変わるかの解説記事を書きました。 また iOS のHTTP通信ライブラリの Proxy 対応状況についても調べてい…

「HTTP(S) Proxyを設定する」とはどういうことか、パケットレベルで解説

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 社内で診断ツールやプロキシを開発していることもあり、通信関連のトラブル相談を受けることがあります。 その中で「そもそも HTTP(S) Proxyを設定する…

Burp の TLS Pass Through 設定の使い所と仕組み

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 iOSやAndroidで Burp のProxy設定をすると、いくつかのアプリで通信エラーになってしまうことがあります。 例として以下のような操作があります。 アプ…

iOSにおけるBurpのHTTP Proxy設定(2021版)

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 先日 iOS にBurpのHTTP Proxy設定をする機会がありました。 久しぶりなので改めて調べ直してみたところ、Burpの開発元である PortSwigger 社のサポート…