Burp Suite: Tutorial 1 - Revision history

Onnowpurbo: /* Penggunaan Intruder */

2020-02-14T01:26:06Z

Penggunaan Intruder

Onnowpurbo: /* Automated Scanning */

2020-02-14T01:15:46Z

Automated Scanning

Onnowpurbo: /* Penggunaan Spider dan Discover */

2020-02-14T01:10:12Z

Penggunaan Spider dan Discover

Onnowpurbo: /* Search Specific Keyword */

2020-02-14T01:05:15Z

Search Specific Keyword

Onnowpurbo: /* Initial Pilfering */

2020-02-14T01:01:05Z

Initial Pilfering

Onnowpurbo: /* Konfigurasi Target Scope Anda */

2020-02-14T00:58:01Z

Konfigurasi Target Scope Anda

Onnowpurbo: /* Konfigurasi Target Scope Anda */

2020-02-14T00:56:54Z

Konfigurasi Target Scope Anda

Onnowpurbo: /* Konfigurasi Perilaku Intercept */

2020-02-14T00:55:41Z

Konfigurasi Perilaku Intercept

Onnowpurbo: /* Konfigurasi Perilaku Intercept */

2020-02-14T00:51:17Z

Konfigurasi Perilaku Intercept

Onnowpurbo: /* Konfigurasi Outbound SOCKS Proxy */

2020-02-14T00:50:51Z

Konfigurasi Outbound SOCKS Proxy

@@ Line 94: / Line 94: @@
 [[File:8-Intruder-1.png|center|300px|thumb|Burp Suite Tutorial - Intruder Positions]]
-Sangat disarankan untuk menggunakan tombol "Clear" untuk menghapus apa yang dipilih pada awalnya. Perilaku default adalah untuk menguji semuanya dengan tanda ‘=’. Highlight parameter yang tidak ingin kita fuzz dan klik "Add". Selanjutnya kita harus pergi ke sub-tab "Payloads" dan memberi tahu Burp Suite kasus uji apa yang harus dilakukan selama menjalankan fuzzing. Yang baik untuk memulai adalah “Fuzzing - full”. ini akan mengirim sejumlah kasus uji dasar ke setiap parameter yang kita sorot pada sub-tab "Positions".
+Sangat disarankan untuk menggunakan tombol "Clear" untuk menghapus apa yang dipilih pada awalnya. Perilaku default adalah untuk menguji semuanya dengan tanda ‘=’.
 [[File:9-Intruder-21.png|center|200px|thumb|Burp Suite Tutorial - Intruder Payloads]]

← Older revision		Revision as of 01:15, 14 February 2020
Line 99:		Line 99:

	==Automated Scanning==		==Automated Scanning==
		+
		+	'''NOTE:''' ini hanya ada di Pro.
		+

	Hal terakhir yang kita lakukan ketika menguji aplikasi web adalah melakukan scanning otomatis menggunakan Burp Suite. Kembali ke subtab “Site map” kita, klik kanan pada cabang root dari situs target dan pilih “Passively scan this host”. Ini akan menganalisis setiap request dan respond yang telah kita hasilkan selama sesi Burp Suite kita. Ini akan menghasilkan vulnerability advisor pada subtab "Results" yang terletak pada tab "Scanner". Kita ingin melakukan scanning pasif terlebih dahulu karena tidak mengirim traffic ke server target. Sebagai alternatif, kita dapat mengonfigurasi Burp Suite untuk secara pasif menganalisis request dan responds di sub-tab “Live scanning”. Kita juga dapat melakukan ini untuk men-scanning secara aktif, tetapi ini tidak terlalu direkomendasikan.		Hal terakhir yang kita lakukan ketika menguji aplikasi web adalah melakukan scanning otomatis menggunakan Burp Suite. Kembali ke subtab “Site map” kita, klik kanan pada cabang root dari situs target dan pilih “Passively scan this host”. Ini akan menganalisis setiap request dan respond yang telah kita hasilkan selama sesi Burp Suite kita. Ini akan menghasilkan vulnerability advisor pada subtab "Results" yang terletak pada tab "Scanner". Kita ingin melakukan scanning pasif terlebih dahulu karena tidak mengirim traffic ke server target. Sebagai alternatif, kita dapat mengonfigurasi Burp Suite untuk secara pasif menganalisis request dan responds di sub-tab “Live scanning”. Kita juga dapat melakukan ini untuk men-scanning secara aktif, tetapi ini tidak terlalu direkomendasikan.

← Older revision		Revision as of 01:10, 14 February 2020
Line 71:		Line 71:

	==Penggunaan Spider dan Discover==		==Penggunaan Spider dan Discover==
		+
		+	'''NOTE:''' ini adanya di versi Pro.

	Setelah sedikit colek sana colek sini secara manual, biasanya akan lebih baik jika mengijinkan Burp Suite untuk men-spider host. Cukup klik kanan pada cabang root target di sitemap dan pilih "Spider this host".		Setelah sedikit colek sana colek sini secara manual, biasanya akan lebih baik jika mengijinkan Burp Suite untuk men-spider host. Cukup klik kanan pada cabang root target di sitemap dan pilih "Spider this host".

← Older revision		Revision as of 01:05, 14 February 2020
Line 63:		Line 63:

	==Search Specific Keyword==		==Search Specific Keyword==
		+
		+	'''NOTE:''' ini hanya bisa dilakukan pada versi Pro :(...

	Kita juga dapat memanfaatkan Burp Suite untuk melakukan beberapa pekerjaan berat untuk kita. Klik kanan pada sebuah node, dari sub-menu “Engagement tools” pilih "Search". Salah satu pencarian favorit adalah untuk memindai string "set-cookie". Ini memungkinkan kita mengetahui halaman mana yang cukup menarik untuk membutuhkan cookie yang unik. Cookie biasanya digunakan oleh pengembang aplikasi web untuk membedakan antara permintaan dari beberapa pengguna situs. Ini memastikan bahwa pengguna 'A' tidak bisa melihat informasi milik pengguna 'B'. Untuk alasan ini, merupakan ide bagus untuk mengidentifikasi halaman-halaman ini dan memberikan perhatian khusus kepada mereka.		Kita juga dapat memanfaatkan Burp Suite untuk melakukan beberapa pekerjaan berat untuk kita. Klik kanan pada sebuah node, dari sub-menu “Engagement tools” pilih "Search". Salah satu pencarian favorit adalah untuk memindai string "set-cookie". Ini memungkinkan kita mengetahui halaman mana yang cukup menarik untuk membutuhkan cookie yang unik. Cookie biasanya digunakan oleh pengembang aplikasi web untuk membedakan antara permintaan dari beberapa pengguna situs. Ini memastikan bahwa pengguna 'A' tidak bisa melihat informasi milik pengguna 'B'. Untuk alasan ini, merupakan ide bagus untuk mengidentifikasi halaman-halaman ini dan memberikan perhatian khusus kepada mereka.

@@ Line 54: / Line 54: @@
 ==Initial Pilfering==
-Klik pada tab "Target" dan sub tab “Site Map”. Scroll ke bawah ke cabang yang sesuai dan perluas semua panah sampai kita mendapatkan gambar lengkap dari situs target kita. Ini harus mencakup semua halaman individual yang kita telusuri serta file javascript dan css. Luangkan waktu sejenak untuk menyerap semua ini, coba dan cari file yang tidak kita kenal dari panduan manual. kita dapat menggunakan Burp Suite untuk melihat respons setiap permintaan dalam sejumlah format berbeda yang terletak di tab "Responds" di panel tampilan kanan bawah. Jelajahi setiap respons mencari hal-hal yang menarik. Hal-hal yang mungkin mengejutkan kita termasuk:
+Klik menu "Target" > sub-tab “Site Map”. Scroll ke bawah ke cabang yang sesuai dan perluas semua panah sampai kita mendapatkan gambar lengkap dari situs target kita. Ini harus mencakup semua halaman individual yang kita telusuri serta file javascript dan css. Luangkan waktu sejenak untuk menyerap semua ini, coba dan cari file yang tidak kita kenal dari panduan manual. kita dapat menggunakan Burp Suite untuk melihat respons setiap permintaan dalam sejumlah format berbeda yang terletak di tab "Responds" di panel tampilan kanan bawah. Jelajahi setiap respons mencari hal-hal yang menarik. Hal-hal yang mungkin mengejutkan kita termasuk:
 * Komentar Developer

@@ Line 48: / Line 48: @@
 * '''Tip''' Pastikan anda punya ijin / authorisasi untuk men-test '''www.target.anda''' - urusannya denda Rp. 600 juta dan atau penjara.
-Buka tab "Target" dan kemudian sub-tab "Site map". Pilih situs web target kita dari panel tampilan kiri. Klik kanan dan pilih "“Add to scope". Selanjutnya highlight semua situs lain di display pane, klik kanan dan pilih  Remove from scope. Jika kita melakukan ini dengan benar, tab Burp Suite scope kita akan terlihat seperti gambar di bawah ini.
+Klik tab "Target" > sub-tab "Site map". Pilih situs web target kita dari panel tampilan kiri. Klik kanan dan pilih "“Add to scope". Selanjutnya highlight semua situs lain di display pane, klik kanan dan pilih  Remove from scope. Jika kita melakukan ini dengan benar, tab Burp Suite scope kita akan terlihat seperti gambar di bawah ini.
 [[File:4-scope sub-tab.png|center|300px|thumb|Burp Suite Tutorial - Scope Settings]]

@@ Line 46: / Line 46: @@
 Sekarang setelah kita bisa merasakan bagaimana aplikasi target kita bekerja, waktunya untuk mulai menganalisis beberapa GET dan POST. Namun, sebelum melakukan pengujian apa pun dengan Burp Suite, sebaiknya tentukan lingkup target kita dengan benar. Ini akan memastikan bahwa kita tidak mengirimkan traffic yang berpotensi berbahaya ke situs web yang tidak kita uji.
-* '''Tip''' I am authorized to test www.pentestgeek.com. *You* are not.
+* '''Tip''' Pastikan anda punya ijin / authorisasi untuk men-test '''www.target.anda''' - urusannya denda Rp. 600 juta dan atau penjara.
 Buka tab "Target" dan kemudian sub-tab "Site map". Pilih situs web target kita dari panel tampilan kiri. Klik kanan dan pilih "“Add to scope". Selanjutnya highlight semua situs lain di display pane, klik kanan dan pilih  Remove from scope. Jika kita melakukan ini dengan benar, tab Burp Suite scope kita akan terlihat seperti gambar di bawah ini.

@@ Line 26: / Line 26: @@
 ==Konfigurasi Perilaku Intercept==
-Hal berikutnya yang perlu kita lakukan adalah mengkonfigurasi fitur proxy intercept. Set hanya untuk pause pada request dan responds ke dan dari situs target saja. Navigate ke tab "Proxy" di bawah sub-tab "Options". Heading kedua dan ketiga menampilkan opsi yang dapat dikonfigurasi untuk intercepting request dan respons. Hapus Burp Suite default dan check “URL Is in target scope”. Selanjutnya  intercept off karena tidak diperlukan untuk awal walkthrough kita. Dari subtab “Intercept” pastikan bahwa tombol sakelar tertulis “Intercept off”
+Hal berikutnya yang perlu kita lakukan adalah mengkonfigurasi fitur proxy intercept. Set hanya untuk pause pada request dan responds ke dan dari situs target saja. Klik menu tab "Proxy" > sub-tab "Options". Heading kedua dan ketiga menampilkan opsi yang dapat dikonfigurasi untuk intercepting request dan respons. Hapus Burp Suite default dan check “URL Is in target scope”. Selanjutnya  intercept off karena tidak diperlukan untuk awal walkthrough kita. Di menu "Proxy" > sub-tab “Intercept” pastikan bahwa tombol sakelar tertulis “Intercept is off”
 [[File:3-proxy-intercept-settings.png|center|300px|thumb|Burp Suite Tutorial - Proxy Intercept Settings]]

← Older revision		Revision as of 00:50, 14 February 2020
Line 5:		Line 5:

	==Konfigurasi Outbound SOCKS Proxy==		==Konfigurasi Outbound SOCKS Proxy==
		+
		+	'''NOTE:''' Burpsuite di Kali 2020.1 tampaknya ini tidak ada.

	Bergantung pada scope yang ingin kita lakukan, mungkin perlu untuk mengarahkan traffic Burp Suite agar melalui Outbound SOCKS Proxy. Ini memastikan bahwa traffic pengujian berasal dari lingkungan pengujian yang disetujui. Yang lebih baik adalah menggunakan koneksi SSH sederhana untuk tujuan ini. SSH out ke server pengujian kita dan mengatur Proxy SOCKS di localhost melalui opsi ‘–D’ seperti ini.		Bergantung pada scope yang ingin kita lakukan, mungkin perlu untuk mengarahkan traffic Burp Suite agar melalui Outbound SOCKS Proxy. Ini memastikan bahwa traffic pengujian berasal dari lingkungan pengujian yang disetujui. Yang lebih baik adalah menggunakan koneksi SSH sederhana untuk tujuan ini. SSH out ke server pengujian kita dan mengatur Proxy SOCKS di localhost melalui opsi ‘–D’ seperti ini.