برب سويت

Burp Suite عبارة عن أداة برمجية خاصة لتقييم الأمان واختبار الاختراق لتطبيقات الويب.   تم تطويره في البداية في الفترة من 2003 إلى 2006 بواسطة Dafydd Stuttard  لأتمتة احتياجات اختبار الأمان الخاصة به، بعد إدراك قدرات أدوات الويب القابلة للأتمتة مثل Selenium .  أنشأ ستوتارد شركة PortSwigger لتكون الرائدة في تطوير Burp Suite. يتوفر هذا المنتج بإصدارات مجتمعية مجانية ولكن محدودة الاستخدامات ومهنية خاصة بالاشخاص الذين يعملون في مجان الامن السيبراني كافراد ومؤسسية عبارة عن نظام كامل لاختبار ومتابعة الثغرات للشركات بدون اي تفاعل يدوي او بتفاعل بسيط جدا لنكون صرحاء.

تتضمن القدرات البارزة في هذه المجموعة ميزات لتوكيل عمليات الزحف او التحرك في المواقع على الويب (Burp Proxy)،  وتسجيل طلبات/استجابات HTTP (Burp Logger وHTTP History)، والتقاط/اعتراض طلبات HTTP أثناء ارسال واستلام الطلبات من والي المواقع التي تختبرها (Burp Intercept)،  والتقارير المجمعة التي تشير إلى نقاط الضعف (Burp Scanner).  يستخدم هذا البرنامج قاعدة بيانات مدمجة تحتوي على أنماط لادوات مدمجة للبحث عن الثغرات او الاماكن غير الأمنة وكلمات رئيسية للبحث داخل طلبات/استجابات HTTP الملتقطة. 

يتمتع Burp Suite بالعديد من وظائف الاختراق. تتضمن بعض خدمات PoC مثل خدمة Generate CSRF PoC المضمنة اختبارات لخفض مستوى HTTP،  والتفاعل مع خوادم الحماية الخارجية المستضافة بالأدوات (Burp Collaborator) تلك الخاصية تساعد في اكتشاف ثغرات مثل SSRF and File Local Inclusion،  وتحليل قوة التوزيع العشوائي الزائف (Burp Sequencer).  تسمح هذه الأداة بدمج الوظائف المحددة من قبل المستخدم من خلال تنزيل المكونات الإضافية مفتوحة المصدر (مثل Java Deserialization Scanner  و Autorize  و Active Plus Plus ).

 مميزات البرب سويت 
كمحلل أمان للويب ، يقدم Burp Suite العديد من الميزات المضمنة المصممة لمساعدة المختبرين في تدقيق تطبيقات الويب الخاصة بهم.

من العادة ان البرب سويت معروف ان لديه كمية من الاختبارات في النسخ المدفوعة منه جيدة جدا في اكتشاف الثغرات بشكل تلقائي منها ثغرات مثل XSS او LFI وايضا تم اصدار شئ جديد من سنتين يسمي BChecks ستجد معلومات عنه في ادني هذه الصفحة.

 إصدار المجتمع 
تصغير|187x187بك| إصدار مجتمع BurpSuite
تتضمن نسخة Community Edition المجانية من اداة Burp Suite الميزات التالية. 

 Burp Proxy and Interceptor: مثل أجهزة فحص أمان تطبيقات الويب الأخرى، فإن إحدى الوظائف الأساسية وراء Burp Suite هي قدرته على العمل كخادم وكيل لطلبات HTTP من جانب العميل.  يمكن لمختبري الاختراق اعتراض متغيرات طلبات HTTP الافتراضية لخوادم الويب (السمات، معلمات النص، ملفات تعريف الارتباط، الرؤوس) في الوقت الفعلي وتحرير هذه القيم أثناء التنقل. 
 خريطة موقع Burp: تعمل BurpSuite بشكل مشابه لبرنامج OWASP ZAP ، حيث يمكن التقاط خرائط مواقع عناوين URL المستهدفة  إما من خلال الزحف التلقائي أو اليدوي للويب.  عندما يقوم المستخدمون بالزحف عبر تطبيق ويب، يتم إرسال طلبات HTTP إلى وكيل ويب في برنامج Burp Suite. بمجرد التقاط طلبات/استجابات HTTP، يمكن التحقيق في نقاط النهاية هذه يدويًا أو تدقيقها تلقائيًا من خلال الميزات المتوفرة في الإصدار الاحترافي من Burp Suite.
 Burp Logger وHTTP History: يحتفظ بقائمة طلبات/استجابات HTTP التي تم التقاطها أثناء الزحف على الويب (والفحص التلقائي للإصدار الاحترافي).  
 مكرر التجشؤ: يكرر طلبات HTTP الملتقطة، مما يسمح بإجراء تغييرات مخصصة على متغيرات الطلب. 
 فك تشفير التجشؤ: يقوم بفك تشفير النص تلقائيًا. 
 Burp Sequencer: يقوم بتحليل متغير الرمز المميز الذي تم إنشاؤه بواسطة التطبيق عبر طلبات HTTP المتكررة لتحديد قوة القدرة على التنبؤ بالعشوائية الزائفة.
 مُقارن التجشؤ: يسمح للمستخدمين بمقارنة المحتوى الموجود بين طلبين HTTP مختلفين أو استجابات HTTP. 
 Burp Extender: راجع قسم اضافات البرب سويت أدناه؛ تقتصر بعض مكونات Burp Suite على التفاعل مع الإصدار الاحترافي فقط فعلا وبعض الناس يظنون ان اداة Burp Suite مفتوحة المصدر وهذا غير صحيح اطلاقا. 

 النسخة الاحترافية 
يتضمن الإصدار الاحترافي من Burp Suite الذي يتم استخدامه من قبل المختبرين في الشركات والافراد جميع ميزات المجتمع بالإضافة إلى تلك المدرجة أدناه.

 Burp Scanner: يقوم بأتمتة تدقيق التقارير و/أو البحث على الويب عن الطلبات/الاستجابات التي تم التقاطها عبر HTTP. يستخدم قواعد داخلية لمراجعة المحتويات من استجابات HTTP التي تم اعتراضها من أجل البحث عن قيم الاستجابة المعرضة للخطر. يتيح للمستخدمين تخصيص سرعات الماسحات الضوئية وتغطية النتائج.
 لوحة معلومات التجشؤ: تعرض النتائج وتصنف المشكلات بناءً على شدتها.  يمكن توفير أوصاف تفصيلية وخطوات الإصلاح بناءً على نوع النتيجة. 
 Burp Intruder: على غرار Burp Repeater على نطاق أوسع، يمنح المستخدمين الوسائل لإرسال طلبات HTTP متوازية متعددة مع تغييرات على متغيرات الطلب المحددة. 
 Burp Collaborator: يحاكي استضافة خادم C2 لمحاولة التفاعل مع الخدمة الخارجية والهجمات خارج النطاق. 
 منظم التجشؤ: يسمح للمستخدمين بتنظيم طلبات/استجابات HTTP المحددة في مجموعة محفوظة. 
 Burp Infiltrator: وكيل IAST تم تصميمه لأتمتة المسح التفاعلي/وقت التشغيل وتوصيل النتائج من خلال ميزة Burp Collaborator. 
 Burp Clickbandit: أداة لإثبات مفهوم اختبار هجمات النقر على ملفات HTML وJavaScript في الواجهة الأمامية لتطبيقات الويب. 
 حفظ الملفات: يسمح الإصدار الاحترافي للمستخدمين بحفظ مشاريعهم كملفات ".burp". 

 اضافات البرب سويت 
يقدم BApps Burp Suite متجرًا للإضافات  حيث يمكن للمستخدمين تحميل وتنزيل المكونات الإضافية للوظائف غير المدعومة بشكل أصلي. تختلف المكونات الإضافية المختلفة في الوظائف، بدءًا من التعديلات على قابلية قراءة واجهة المستخدم، والإضافات إلى قواعد الماسح الضوئي، وتنفيذ ميزات جديدة تعتمد على التحليل, وايضا انت لست ملزم بتلك الاضافات فقط يمكنك صنع الاضافات الخاصة بك باستخدام BApp API.

تعتبر واجهة برمجة تطبيقات تمديد Burp Suite مفتوحة المصدر.   يتم دعم مكونات Java الإضافية بشكل أصلي، في حين تتطلب الإضافات التي تستخدم Python وRuby من المستخدمين تنزيل ملفات JAR لـ Jython وJRuby على التوالي. 

يمكن تنزيل الاضافات بصيغ مثل py, jar و rb الان من ما يقرب من عشرة سنين وتلك اللغات فقط المدعومة من بورت سويجر لاداة البرب سويت.

كما قام موظفو Portswigger بإنشاء العديد من مكونات Burp الإضافية كوسيلة لتطوير إثبات المفاهيم للأبحاث التي أجرتها الشركة.  تتضمن الأمثلة على ذلك الامتدادات التي أنشأها جيمس كيتل، مدير الأبحاث في شركة بورتسويجر،  بما في ذلك Backslash Powered Scanner،   Param Miner،   وHTTP Request Smuggler.   نعم وكما قلنا فوق جيمس كاتل مطور اداة Active++ هو مسؤول بحث امني في شركة بورت سويجر.

 BChecks 
تمت إضافة BChecks إلى Burp Suite في يونيو 2023  كوسيلة للسماح للمستخدمين بإنشاء قواعد اكتشاف الثغرات الضوئي الخاصة بهم وتخصيصها.  كما يريدون يتم صيانة مجموعة مختارة من BChecks بواسطة Portswigger من خلال مشروع GitHub مفتوح المصدر ولها طريقة كتابة خاصة بها وبسيطة. 

 بامباداس 
يمكن للمستخدمين كتابة نصوص Java لإنشاء تصفية مخصصة لمؤشرات طلبات/استجابات HTTP في قوائم HTTP History وWebSocket History وLogger الخاصة بـ Burp Suite.   هذه ميزة بسيطة كما تري ولكن لها استخدامات عدة منها بعض من المستخدمين صنع نص لوضع علامات علي الطلبات لوضعها كادلة علي الثغرات وهو ياخذ صورة للشاشة.

 انظر أيضا 

 أمان التطبيق
 اختبار أمان التطبيقات الديناميكي (DAST)
 تقييم نقاط الضعف (الحوسبة)
 تقييم أمن تكنولوجيا المعلومات
 أواسب زاب
 متتبع الويب
 خوادم بروكسي الويب

 مراجع 

 روابط خارجية 



تصنيف:اختبار البرمجيات
تصنيف:برمجيات أمن الحاسوب
تصنيف:برمجيات أمنية حرة
تصنيف:منصة برمجيات جافا