7/10追記 2023.6.2安定版リリースで、2023.6のアーリーアダプターの内容が取り込まれたため、本記事も安定版に書き換えております。
はじめに
この記事は、Burp Suiteのリリース内容について抄訳した内容と筆者の気になるポイントを記載しています。
Burpを使用して診断を行う方を対象にしていますので、バグ修正のような細かい変更点については本記事で触れない場合がございます。
原文をご確認されたい方は、公式のリリースノートをご覧ください。
カスタムスキャンチェック
作成およびインポート可能なスキャン チェックである BCheck が導入されました。
Burp Scanner は、組み込みのスキャンルーチンに加えて、これらのチェックを実行します。これによりスキャンの微調整が可能になり、テストワークフローを可能な限り効率化することができます。
カスタム定義言語を使用して、BCheck を簡単に作成できます。Burp には、さまざまなテンプレートが用意されているので、すぐに始めることができます。
また、BChecks GitHub リポジトリも作成しました。これには、PortSwigger のサンプル BCheck と、Burp Suite コミュニティによって開発された BCheck が含まれます。
将来的には、BCheck 言語とテスト エクスペリエンスを改善する予定です。
ライブ クロール パス ビューの改善
- クローラーがクロール パス上の特定の場所から実行できたすべての可能なナビゲーション アクションの詳細を表示できるようになりました。これにより、サイトの構造をより深く理解できるようになります。これらの詳細を表示するには、scan task detailsウィンドウの[Crawl paths] > [Outlinks]タブに移動します。
- 任意のクロール場所で Burp のブラウザのスクリーンショットを表示できるようになりました。スキャン タスクの詳細ウィンドウの[Crawl paths]タブに移動し、 [Show screenshot]をクリックします。
プロジェクト ファイルを再度開いたときに、最短のクロール パス ツリーが保持されるようになりました。
GraphQLスキャンチェック
- クロール中に検出された GraphQL エンドポイントのリストを特定して維持します。
- イントロスペクション クエリが有効になっているかどうかを確認します。
- GraphQL の提案が有効になっているかどうかを確認します。
- 検出されたすべての GraphQL エンドポイントでCSRF脆弱性をテストします。
MontoyaAPI
ByteArrayデータを別の整数ベースに変換します。これは、このタスクを完了するために追加のライブラリを使用する必要がなくなったことを意味します。- 例外をエラー出力に記録します。これは、例外を手動でフォーマットして変換する必要がないことを意味します。
改善点
- ホットキー Ctrl + Shift + O を使用して、[Organizer]タブにすばやく切り替えることができるようになりました。
- ダッシュボードの「Issue activity」テーブルで、ターゲット範囲ごとに問題をフィルターできるようになりました。
- Burp のブラウザの起動方法を変更しました。Google アカウントなど、DevTools リスナーの存在をフィンガープリントするサイトのアカウントと連携できるようになりました。
バグの修正
- Organizerテーブルのハイライトを変更しても、現在の行の選択は解除されなくなります。
- Burp Suite Community Editionでは、フィルターがIntruderの攻撃結果に正しく適用されるようになりました。
ブラウザのアップグレード
Burpの内蔵ブラウザをWindowsでは114.0.5735.110、MacおよびLinuxでは114.0.5735.106にアップグレードしました。このアップデートには複数のセキュリティ修正が含まれています。
気になるポイント
カスタムスキャンチェック
ユーザーがカスタム可能なスキャンのテンプレートが実装されました。BChecksと呼ばれる、Burp独自のテンプレートのようです。
今までできなかったっけ？って思いましたが、今回のようなスキャンのロジックまで変更可能なカスタマイズは無かったのかもしれません。（Burp のスキャナーについてはあまり詳しくなく・・・）
リポジトリを見ると、サンプルとしていくつか用意されているのと、既知の脆弱性を検査するスキャンテンプレートもありますね。
色々とできそうなので、これも時間があれば別途記事などを作成して紹介してみたいです。