BurpのScannerオプションを私はまだ知らない

## はじめに
BurpのScannerオプションって色々あるけど、詳しくは目を通せてないなぁと思ったのが、この記事を書くきっかけです。
勉強がてら紹介させてください。

こちらはシーエー・アドバンス Advent Calendar2024の記事になります。

## BurpのScannerとは
BurpSuiteという診断ツールのProfessional版で使用可能なScanツールのことです。
対象となるURLに対して、自動で脆弱性を検出してくれるツールとなります。
脆弱性を埋め込んだリクエストを送信し、結果を解析する動的解析や、JavaScript等の静的解析を行ってくれます。
この記事ではBurpSuiteのことをBurpと略称で記載します。

:::note info
参考リンク
https://portswigger.net/burp/vulnerability-scanner
:::

## オプションについて
Scannerのオプション画面は以下のようになっています。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/cba834a7-45fa-3279-1ac3-a3b4b8968317.png)

各タブとして以下があります。
今回は、この中で「Scan configuration」を主に解説していこうと思います。
* Scan type
* Scan details
* **Scan configuration**
* Resource pool
* API definition 
※Scan typeでAPI-onlyを選択した時のみ設定可能
* API details
※Scan typeでAPI-onlyを選択した時のみ設定可能

## Scan configuration
Scan configurationを選択するとこのような画面となります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/777407d7-140b-81e8-6d12-d16205be9bcc.png)

ここで右のNewを押下することで新しいオプションを作成できます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/4b285a8b-1ac0-eb16-e8a2-a493b9bfa97b.png)

それでは各オプションについて見ていこうと思います。
私は英語が苦手なので<a href="https://translate.google.co.jp/?hl=ja&sl=en&tl=ja&op=images">Google翻訳</a>を使用し翻訳した画像も平行して載せていきます。

### Audit Optimization
「監査の最適化」とBurpのヘルプに記載があるとおり、Scan時の動作の最適化を行います。
速度や正確性、クロールとScanの最大合計時間を設定できます。
![スクリーンショット 2024-12-25 022539.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/5a2b178b-05c3-bec8-44cd-0643064753bf.png)
![スクリーンショット 2024-12-25 022539.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/bdc10301-3261-0d15-9022-6f3c7e4d048b.png)

### Issues Reported
検出するIssue(脆弱性)の種類が指定可能です。
![スクリーンショット 2024-12-25 022945.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/d4c46b7b-b1db-b44a-1071-da602ade0346.png)
![スクリーンショット 2024-12-25 022945.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/5f296480-5992-224b-1e8c-139e70b1321b.png)

### Handling Application Errors During Audit
指定した回数失敗した場合、チェックをスキップしたり、失敗したときにエラー付けすることが可能です。
また、タスクの停止や、再試行回数を設定可能です。
![スクリーンショット 2024-12-25 023146.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/6ceba920-6973-b4a6-c0d0-af622b07614e.png)
![スクリーンショット 2024-12-25 101134.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/fadf0b2f-4085-96a0-5db7-6039ddc95253.png)


### Insertion Point Types
リクエストのペイロード設定の箇所を指定します。
![スクリーンショット 2024-12-25 023603.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/b13ca630-0bd9-2d82-e3bf-6d436da9d953.png)
![スクリーンショット 2024-12-25 023603.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/024e6e3a-f360-3e0c-58b3-c1366671ba7e.png)

### Modifying Parameter Locations
リクエスト内で再配置するパラメータを選択できます。
少し意味が分からなかったのですが、URLパラメータをメッセージ本文に移動してテストしたりすることができるようです。
![スクリーンショット 2024-12-25 023801.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/b332234c-f61d-84e8-9fd9-6f118bdab8a6.png)
![スクリーンショット 2024-12-25 023801.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/2072b428-5fb6-2bc3-35b8-8fc321fd6e86.png)

### Ignored Insertion Points
Scan時に攻撃値を挿入するパラメータをInsertion Pointsと呼びますが、攻撃値を挿入しないよう除外設定を行うことができます。
![スクリーンショット 2024-12-25 024010.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/b737ed97-2b0a-9106-5094-64839d6bf591.png)
![スクリーンショット 2024-12-25 024010.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/6b97d1ab-4444-b7b4-869f-8e99a51bc358.png)

### Frequently Occurring Insertion Points
同じパラメータ名が何度も登場し、結果に違いが見られない場合スキップするか設定ができます。
![スクリーンショット 2024-12-25 024315.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/f6dff4ac-d78f-6dc1-8282-38e741921e00.png)
![スクリーンショット 2024-12-25 024315.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/c1ddc83d-11a0-ba5b-c2db-cee264174acb.png)

### Misc Insertion Point Options
リクエスト毎の最大のInsertion Points数を決めます。
![スクリーンショット 2024-12-25 024611.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/0bbb0b74-3930-66a2-91b2-73782e4a3181.png)
![スクリーンショット 2024-12-25 024611.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/274fe4d0-5c7a-2823-b639-5c18378d6892.png)

### JavaScript Analysis
JavaScript分析の動作制御が設定できます。
![スクリーンショット 2024-12-25 024811.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/91b2f9a9-09fc-5c1b-8b98-215a2251a662.png)
![スクリーンショット 2024-12-25 024811.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/d24657b4-0d36-db2f-ffd0-422afdbafda2.png)

### Audit Project Option Overrides
Scanのタイムアウト値が設定可能です。
![スクリーンショット 2024-12-25 024918.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/34dd39b2-0632-a287-052f-0f8d58df1a9f.png)
![スクリーンショット 2024-12-25 024918.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/666267/89a54a08-f585-29ba-5360-960ffb363c29.png)

## 最後に
いかがでしたでしょうか？
自身の備忘録としても良かったかなと思います。
それでは良いクリスマスを。