Burp Suite Professional là phiên bản trả phí nâng cao của bộ công cụ Burp Suite. Phần mềm cho phép chặn, phân tích và chỉnh sửa các request/response HTTP/HTTPS giữa trình duyệt và server để kiểm tra lỗ hổng bảo mật.
Burp Suite Professional thường được triển khai để kiểm thử bảo mật ứng dụng web (Web Application Penetration Testing) bằng cách đặt phần mềm làm proxy trung gian giữa trình duyệt và website. Dưới đây là quy trình triển khai cơ bản trong doanh nghiệp hoặc phòng lab.
1. Chuẩn bị hệ thống
Yêu cầu phần cứng – phần mềm
| Thành phần | Yêu cầu khuyến nghị |
|---|---|
| CPU | Intel i5 / Ryzen 5 trở lên |
| RAM | 8–16 GB |
| Disk | ≥ 2 GB |
| OS | Windows / Linux / macOS |
| Runtime | Java (Bundled JRE có sẵn) |
Burp Suite thường chạy trên:
-
Windows 10 / 11
-
Kali Linux
-
Ubuntu
-
macOS
2. Cài đặt Burp Suite Professional
Bước 1: tải phần mềm
Tải từ website của PortSwigger:
Chọn Burp Suite Professional installer.
Bước 2: cài đặt
Windows:
-
Chạy file
.exe -
Chọn thư mục cài đặt
-
Hoàn tất setup
Linux:
./burpsuite_pro.sh
macOS:
-
mở file
.dmg -
kéo Burp vào Applications.
3. Kích hoạt License
Sau khi chạy lần đầu:
-
chọn License Key activation
-
nhập license key
-
Burp kết nối server license của PortSwigger
-
activate thành công.
License thường:
-
per user
-
1 năm subscription
4. Cấu hình Proxy
Burp Suite hoạt động như Intercepting Proxy.
Default proxy
port 8080
Cấu hình trên trình duyệt
Chrome / Firefox:
Port: 8080
Sau đó:
-
mọi request HTTP/HTTPS đi qua Burp.
5. Cài SSL Certificate của Burp
Để intercept HTTPS:
-
mở browser
-
truy cập
-
download CA Certificate
-
import vào browser trust store.
Sau bước này Burp có thể:
-
đọc
-
chỉnh sửa
-
replay request HTTPS.
6. Workflow pentest cơ bản
Quy trình sử dụng Burp thường gồm:
1️⃣ Crawl website
Dùng:
-
Target
-
Proxy
-
Spider
để thu thập toàn bộ endpoint.
2️⃣ Scan lỗ hổng
Dùng:
-
Scanner
phát hiện:
-
SQL injection
-
XSS
-
CSRF
-
SSRF
-
authentication flaw.
3️⃣ Kiểm thử thủ công
Module:
-
Repeater
-
Intruder
để:
-
fuzz parameter
-
brute force login
-
test API.
4️⃣ Báo cáo
Xuất báo cáo:
XML
JSON
cho pentest report.
7. Triển khai trong doanh nghiệp
Có 3 mô hình phổ biến:
1. Standalone pentest workstation
-
1 máy Kali Linux
-
cài Burp Pro
-
pentester sử dụng trực tiếp.
2. Proxy test lab
dùng cho security testing nội bộ.
3. DevSecOps integration
Kết hợp:
-
CI/CD
-
DAST scanning
-
bug tracking.
8. Best practice khi triển khai
✔ chỉ pentest hệ thống được phép
✔ dùng scope target trong Burp
✔ cập nhật plugin từ BApp Store
✔ sử dụng Project file (.burp) để lưu session.
Quý doanh nghiệp cần tư vấn, mua bản quyền phần mềm Burp Suite DAST và Burp Suite Professional vui lòng liên hệ với chúng tôi
COMMENTS