Burp Suite Community Edition besplatan je software koji se koristi za sigurnosno testiranje web aplikacija. Pokazao se kao dobar izbor za rješavanje Hacknite zadataka, a koristan je i u praksi za penetracijsko testiranje web aplikacija. Link za instalaciju Burp Suite Community Editiona je sljedeći: https://portswigger.net/burp/communitydownload
U nastavku je opisan postupak presretanja zahtjeva koristeći Burp.

Svaki HTTP i HTTPS zahtjev koji šaljemo ili primamo našim web preglednikom možemo presresti, analizirati, mijenjati te nakon toga poslati. Odabirom opcije Proxy, otvara se sljedeće sučelje:

Ovdje su nam bitne dvije opcije, presretanje zahtjeva koje možemo upaliti ili ugasiti klikom na gumb „Intercept is off/on” i pokretanje ugrađenog preglednika (engl. browser) koji je konfiguriran da šalje promet kroz Burpov posrednik (eng. proxy). Ugrađeni preglednik može se pokrenuti klikom na narančasti gumb Open browser.

Omogućimo presretanje zahtjeva pritiskom na gumb “Intercept is off”. Posjetimo preko ugrađenog preglednika https://platforma.hacknite.hr. Prije slanja tog zahtjeva otvara se detaljan prikaz HTTP zaglavlja, tijela zahtjeva i kolačića koji je prikazan na sljedećoj slici. Presretnutom zahtjevu moguće je mijenjati vrijednosti određenih zaglavlja ili kolačića. Nakon toga zahtjev se može proslijediti dalje gumbom „Forward” ili odbaciti gumbom „Drop”.

Burp Suite moguće je osim s ugrađenim preglednikom koristiti i s uobičajenim preglednicima. Tada je potrebno konfigurirati preglednik da koristi Burp Suite kao HTTP proxy. U nastavku je opisan taj postupak za Firefox.

U proxy postavkama moguće je vidjeti mrežno sučelje na kojem proxy servis sluša. U ovom slučaju sluša na lokalnoj IP adresi 127.0.0.1 te mrežnom priključku (eng. port) 8080. Tu IP adresu i mrežni priključak potrebno je unijeti u mrežne postavke Firefoxa (Settings → Network settings).

Sada se Burp suite može koristiti samo za presretanje HTTP komunikacije, ali ne i za HTTPS, što je ilustrirano na idućoj slici. Prikazan je rezultat pokušaja pretraživanja nekog upita putem Google tražilice.

Kako bi se mogli presretati i šifrirani HTTPS zahtjevi, potrebno je unutar Firefox preglednika (za koji je konfiguriran Burp kao proxy) posjetiti: http://burp/ i preuzeti CA certifikat. Zatim treba napraviti uvoz (engl. import) certifikata u Firefox (Settings → Privacy&Security→Certificates→View Certificates→Import).

Sada je alat uspješno konfiguriran. Uključivanjem opcije presretanja zahtjeva možemo uspješno presretati i zahtjeve HTTPS komunikacije, kao što se vidi na slici ispod gdje je zahtjev „zaustavljen“ unutar alata.