Установка и настройка Burp Suite на Linux

Burp Suite — популярный и мощный набор инструментов для проверки безопасности веб-приложений. Он работает как MITM-прокси (man-in-the-middle), позволяя перехватывать, просматривать и модифицировать трафик в обе стороны. Burp подходит для автоматизированного сканирования, ручного тестирования и кастомных атак. Community Edition бесплатно и достаточно для старта в багбаунти и базового тестирования.

Что такое Burp Suite

Burp Suite — это набор модулей: прокси, сканер, repeater, intruder и др. Кратко:

• Прокси: перехватывает HTTP(S)-запросы между браузером и сервером.
• Repeater: вручную повторяет и модифицирует запросы.
• Scanner: автоматический поиск уязвимостей (в Pro-версии).
• Intruder: прогон словарей и брутфорс-паттернов.

Определение: MITM-прокси — прокси, которое вставляется между клиентом и сервером для анализа и изменения трафика.

Важно: Burp требует доверия к своему CA-сертификату для перехвата HTTPS. Иначе браузер будет выдавать ошибки TLS.

Требования перед установкой на Linux

Перед установкой рекомендуется обновить систему и установить последние обновления безопасности.

На дистрибутивах на базе Ubuntu/Debian выполните:

sudo apt update && sudo apt upgrade -y

На Arch Linux и производных:

sudo pacman -Syu

На RHEL/Fedora:

sudo dnf upgrade

Проверьте свободное место и права в директории, куда будете устанавливать приложение.

Факт-бокс:

• Порт по умолчанию: 8080
• Локальный адрес прокси: 127.0.0.1
• Community Edition: бесплатна
• Разработчик: PortSwigger

Скачивание и установка Burp Suite на Linux

Скачайте Burp Suite с официального сайта PortSwigger. Выберите версию Community (Linux 64 bit) для базового использования.

Ссылка для скачивания: Burp Suite (официальный сайт PortSwigger)

Шаги установки:

1. Откройте браузер и перейдите на страницу загрузки PortSwigger или используйте прямую ссылку на страницу загрузки.
2. Выберите “Burp Suite Community Edition” и версию для Linux 64 Bit. Сохраните файл в удобную директорию.
3. Откройте терминал и перейдите в папку с загруженным скриптом:

cd ~/Загрузки

Сделайте скрипт исполняемым:

chmod +x burpsuite_community_linux*.sh

4. Запустите установщик:

./burpsuite_community_linux*.sh

5. Следуйте подсказкам установщика. Выберите каталог установки и создайте ярлык/launcher по желанию.

После завершения установки найдите Burp Suite в меню приложений и добавьте в избранное при необходимости.

Важно: если установщик выдаёт ошибку прав, проверьте, запускали ли вы скрипт в правильной директории и есть ли у вас execute-права.

Настройка браузера для работы с Burp Suite

Мы настроим Firefox как пример. Подход можно адаптировать для Chrome/Chromium.

1. Установите расширение FoxyProxy Standard (или аналог).
2. Откройте опции FoxyProxy и добавьте новый прокси:
   • Proxy IP Address: 127.0.0.1
   • Proxy Port: 8080 (или другой, который указан в Burp)
   • Тип: HTTP (или вручную укажите и для HTTPS)
3. Сохраните конфигурацию и активируйте её через иконку расширения.

Тест перехвата:

• В Burp: вкладка Proxy -> Intercept -> нажмите Intercept is on (или “Intercept on”).
• В браузере загрузите любую страницу. В Burp появятся перехваченные запросы.

SSL/TLS и сертификат CA:

Чтобы Burp корректно перехватывал HTTPS, нужно установить его CA-сертификат в браузер:

1. В Burp: Proxy -> Options -> CA certificate -> Export (PEM).
2. В Firefox: Настройки -> Приватность и безопасность -> Сертификаты -> Просмотреть сертификаты -> Импортировать. Выберите экспортированный файл и отметьте доверие для идентификации веб-сайтов.
3. Перезапустите браузер.

После импорта сертификата ошибки TLS исчезнут, и Burp сможет расшифровывать HTTPS-трафик.

Важно: не добавляйте CA Burp в системный хранилище доверенных сертификатов без крайней необходимости. Используйте отдельный профиль браузера для тестов.

Удаление Burp Suite с Linux

Если нужно полностью удалить Burp Suite, в директории установки обычно есть скрипт uninstall.sh. Выполните:

cd /путь/к/директории/burpsuite
chmod +x uninstall.sh
./uninstall.sh

Если установщик не создавал такой скрипт, просто удалите папку приложения и ярлыки. Также удалите импортированные CA-сертификаты из браузера и профиля.

Лучшие инструменты сканирования и интеграции для Linux

Burp хорош, но не стоит полагаться только на него. Полезные инструменты для комплексного тестирования:

• OWASP ZAP — открытый сканер и прокси.
• Nmap — сканирование сети и сервисов.
• Nikto — проверка веб-серверов на известные уязвимости.
• sqlmap — автоматизированная эксплуатация SQL-инъекций. -wpscan — аудит WordPress.

Комбинация этих инструментов с Burp даст более полную картину безопасности.

Когда Burp Suite может не подойти

• Если нужно тестировать не HTTP/HTTPS-протоколы. Burp ориентирован на веб-трафик.
• Для масштабного сканирования большого парка хостов лучше использовать сетевые сканеры (Nmap, Nessus).
• В средах с жёсткой политикой TLS/PKI может быть запрещён импорт CA — тогда перехват HTTPS станет невозможен.

Альтернативные подходы

• Используйте ZAP как бесплатную альтернативу с похожим набором функций.
• Для CI/CD добавьте статический анализ и SAST-инструменты, чтобы находить ошибки на ранних стадиях.
• Включите RASP/EDR-агенты в runtime для обнаружения эксплуатаций на продакшн-серверах.

Ментальные модели для эффективного использования Burp

1. “Прослойка запроса”: думайте о каждом HTTP-запросе как о трёх частях — заголовки, тело, параметры. Модифицируйте каждую отдельно.
2. “Минимальная поверхностная шкала”: сначала быстрый автоматический scan, затем ручная проверка критических путей.
3. “Сегментация тестов”: тестируйте авторизацию, вводимые данные, загрузку файлов и сессии отдельно.

Чек-листы по ролям

Pentester:

• Проверить перехват HTTP/HTTPS.
• Импортировать CA и протестировать страницы с формами.
• Выполнить Repeater/Intruder для критических точек.
• Сохранить лог и экспортировать отчёт.

Разработчик:

• Проверить рекомендации Burp по уязвимостям.
• Повторить запросы с патчами и проверить фиксы.
• Тестировать на тестовом окружении, не в продакшне.

QA-инженер:

• Использовать Burp для регресс-тестов защищённости.
• Автоматизировать заметные сценарии и проверки.
• Проверить, что вводимые поля корректно валидируются.

Пошаговый SOP: установка Burp Suite (краткий рабочий план)

1. Обновить систему: выполните команды обновления пакетов.
2. Скачайте Burp Suite Community Edition с официального сайта.
3. Сделайте скрипт исполняемым и запустите установщик.
4. Настройте FoxyProxy в браузере на 127.0.0.1:8080.
5. Экспортируйте CA Burp и импортируйте его в профиль браузера для тестов.
6. Запустите Burp, включите Intercept, проверьте перехват страниц.
7. Сохраните конфигурации и экспортируйте проект Burp для работы в будущем.

Критерии приёмки

• Burp запускается без ошибок.
• Браузер успешно подключается через прокси к 127.0.0.1:8080.
• HTTPS-страницы загружаются без предупреждений после импорта CA.
• Перехваченные запросы видны в Burp -> Proxy -> Intercept.

Скрипт отката и сценарий восстановления

Если после установки возникли ошибки:

1. Остановите Burp.
2. Удалите настройки FoxyProxy или переключите браузер в прямое подключение.
3. Удалите импортированный CA-сертификат из профиля браузера.
4. Запустите uninstall.sh в папке установки или удалите директорию приложения.
5. Переустановите Burp, повторив SOP.

Тестовые случаи и критерии приёмки

• TC-01: Перехват простого GET-запроса — открыть http://example.com, увидеть запрос в Burp.
• TC-02: Перехват HTTPS — открыть https://example.com после импорта CA, убедиться в отсутствии предупреждений.
• TC-03: Repeater — изменить параметр и получить ожидаемый ответ сервера.
• TC-04: Удаление — выполнить uninstall.sh и убедиться, что ярлык приложения отсутствует.

Каждый тест считается пройденным, если поведение соответствует критериям приёмки.

Безопасность и рекомендации по харднингу

• Не оставляйте Burp прокси включённым в продуктивных профилях браузера.
• Используйте отдельный профиль браузера для тестирования с импортированным CA.
• Ограничьте доступ к машине с Burp — не настраивайте прокси на 0.0.0.0 без необходимости.
• Регулярно обновляйте Burp и систему.

Локальные особенности и подводные камни для российских пользователей

• Корпоративные прокси и перехват трафика: в корпоративных сетях импорт CA и прокси могут блокироваться. Согласуйте тесты с ответственными за сеть.
• SELinux/AppArmor: при их строгом режиме могут возникнуть ошибки запуска — проверьте логи и разрешения.
• Языковые локали: путь с кириллицей в имени пользователя иногда вызывает проблемы в старых установщиках. Установите в каталог без пробелов и кириллицы.

Краткий глоссарий

• MITM: man-in-the-middle, прокси-перехватчик трафика.
• CA: Certification Authority — корневой сертификат, которому браузер доверяет.
• Repeater: модуль Burp для ручной повторной отправки запросов.

Заключение

Burp Suite — надёжный и гибкий инструмент для анализа безопасности веб-приложений. На Linux его легко установить через установочный скрипт, настроить браузер и начать перехватывать трафик. Всегда соблюдайте правила тестирования: работайте в тестовой среде, защищайте CA-сертификаты и документируйте найденные уязвимости.

Ключевые действия: скачайте Burp с PortSwigger, сделайте скрипт исполняемым, настроьте FoxyProxy, импортируйте CA и запустите перехват. Используйте дополнительные инструменты (ZAP, Nmap, sqlmap) для комплексной проверки безопасности.

Важно: не выполняйте тестирование чужих систем без явного разрешения владельца.