CRS-BRP-03
Практическая проверка веб-приложений и прикладных интерфейсов в Burp Suite: Proxy, Repeater и Comparer
За визуальными кнопками современного веб-приложения скрываются десятки фоновых обращений к серверным обработчикам, передача скрытых полей учётной записи и обмен сессионными токенами. Перехватывающий прокси-анализатор Burp Suite располагается на локальной петле между отдельным тестовым браузером и разрешённым стендом, позволяя инженеру детально разбирать и сопоставлять одиночные сообщения HTTP/1.1, HTTP/2 и JSON-RPC.
1. Белый список Target Scope и схема парного дифференциального теста BOLA
Burp Suite: посторонние домены отсекаются фильтром Target Scope, а два параллельных запроса чтения GET с токенами разных арендаторов сопоставляются побайтово в Comparer без мутации базы.2. Доказательство ошибок разграничения доступа без лавинного обстрела базы
Перед началом любого испытания специалист задаёт строгий белый список целевого стенда во вкладке Target Scope и настраивает локальный порт 127.0.0.1:8080 в отдельном чистом браузерном окне, чтобы корневой сертификат прокси никогда не попадал в хранилище основной рабочей системы.
Ошибки нарушения объектной авторизации (BOLA) и подмены закрытых полей записи плохо поддаются слепому перебору словарями, который лишь засоряет журналы и создаёт риск повреждения таблиц. Передача одного безопасного запроса чтения GET в модуль Repeater с заменой токена тестового пользователя Альфа на токен тестового пользователя Бета даёт однозначное доказательство утечки чужого документа.
Точно такой же приём работает при проверке серверных соединителей языковых моделей, передающих вызовы инструментов протокола MCP поверх HTTP и сообщений JSON-RPC 2.0. Прямой просмотр тела запроса в Repeater сразу показывает, проверяет ли сервер права владельца сессии самостоятельно или слепо доверяет аргументам, пришедшим из текстового ответа модели.
| Команда, фильтр или режим | Наблюдаемый технический артефакт | Прикладной вывод для инженера |
|---|---|---|
Target -> Scope -> Include in scope | Жёсткий белый список домена и префикса маршрутов стенда с отключением записи посторонних узлов | Исключает случайный перехват и отправку проверочных пакетов на внешние сторонние ресурсы |
Proxy -> HTTP history | Полный журнал пар запрос-ответ по протоколам HTTP/1.1 и HTTP/2 | Выявляет недокументированные служебные ручки, избыточные поля в ответах и пропуски проверки сессии |
Repeater (Ctrl+R) | Редактор одиночного запроса с ручной правкой заголовков, метода и параметров | Подтверждает уязвимости BOLA и ошибки проверки JWT одним запросом без засорения таблиц |
Comparer | Побайтовое и пословное сопоставление двух сохранённых ответов сервера | Наглядно фиксирует расхождение между ответом владельцу счёта, чужому пользователю и гостю |
Decoder | Локальное декодирование строк Base64URL, шестнадцатеричных кодов и параметров адреса | Позволяет разобрать заголовок alg и поля токена JWT без вставки секретов на чужие сайты |
3. Лабораторный практикум в Repeater и переход к автоматическим свидетелям
Burp Suite: ограничение белого списка в Target Scope, запись штатного обмена в Proxy, точечная подмена параметров чтения в Repeater и побайтовая сверка ответов в Comparer.В приведённом ниже упражнении инженер перехватывает на локальном учебном стенде запрос чтения накладной 1042 от лица первого тестового аккаунта, подставляет в Repeater заголовок второго тестового аккаунта без единой команды удаления и сверяет код ответа сервера.
# Исходный штатный запрос на локальном стенде, записанный в Burp Proxy:
GET /api/v1/invoices/1042 HTTP/2
Host: localhost:8890
Authorization: Bearer eyJhbGciOiJFZERTQSJ9.eyJzdWIiOiJ1c2VyXzEwMDEifQ.sig_alpha
Accept: application/json
# Дифференциальная проба в Burp Repeater (строго метод чтения GET без удаления записей):
# Подстановка токена user_1002 при неизменном номере документа 1042:
GET /api/v1/invoices/1042 HTTP/2
Host: localhost:8890
Authorization: Bearer eyJhbGciOiJFZERTQSJ9.eyJzdWIiOiJ1c2VyXzEwMDIifQ.sig_beta
Accept: application/json
# Защищённый ответ: HTTP/2 403 Forbidden (чужие поля документа не возвращаются)
# Подтверждение уязвимости BOLA: HTTP/2 200 OK с выдачей реквизитов user_1001Ручная сверка двух запросов в Repeater закладывает правильную культуру аккуратного доказательства, однако при сотнях маршрутов после каждого релиза эту процедуру автоматизируют. В комплексе INDRA четвёртая ступень конвейера строит такие же безопасные парные пробы с контрольными обманками по сорока шести классам (AUTH-BOLA, AI-MCP-02), а приборы TOOL-API-04 и TOOL-MCP-03 проверяют схемы интерфейсов онлайн.
4. Инженерные ответы по модулю CRS-BRP-03
Причина запрета на установку корневого сертификата Burp Suite в основной рабочий браузер
Локальный удостоверяющий центр прокси даёт право расшифровывать любые соединения браузера, поэтому его привязывают строго к отдельному чистому профилю без корпоративной почты, банковских вкладок и паролей.
Преимущество одиночной парной пробы в Repeater перед массовым перебором в модуле Intruder
Лавинный перебор вызывает срабатывание ограничителей частоты, забивает базу мусорными строками и не распознаёт логику доступа к чужим объектам, тогда как сопоставление двух токенов на одном запросе GET доказывает ошибку без малейшего вреда.
Разбор полей токена JWT локально во вкладке Decoder вместо сторонних веб-сервисов
Сессионные маркеры тестового стенда содержат внутренние адреса служб, идентификаторы учётных записей и сроки действия подписей, поэтому декодирование Base64URL внутри локального окна Decoder полностью исключает утечку секретов наружу.
Проверка псевдозаголовков HTTP/2 и агентных вызовов JSON-RPC 2.0 в окне Inspector
Современные шлюзы маршрутизируют трафик по служебным полям :authority и :path одновременно с телом метода MCP, и панель Inspector позволяет проверить согласованность маршрутизации с серверной проверкой прав.
Три пакета корпоративного пилота и автономной поставки
Периметр, шифрование и локализация по № 152-ФЗ
Автономная верификация прикладных шлюзов пакетом indra-core
OpenAPI и изолированный тестовый стенд; заказчик получает парную проверку по тридцати классам атак с нулевым числом ложных тревог, защитные правила для mcp-sentinel и сто пять квитанций криптожурнала.Защита автономных агентов и шлюз MITR (приказ № 117)
mcp.json и схемы инструментов агента; заказчик получает формальные политики допустимости и перехват опасных вызовов до открытия сокета.Получить автономный комплект или согласовать пилот
--no-index --find-links) и скрипты независимой перепроверки выдаются по запросу для лабораторных и пилотных испытаний. Оставьте рабочую почту в форме ниже без перезагрузки страницы или напишите напрямую на адрес af@isslab.ai.
Институт-разработчик и оператор стенда
1267700083617, ИНН 9731161602, КПП 773101001, 121352, город Москва, улица Давыдковская, дом 18, помещение VIII). По научно-инженерной программе ИБ 3.0 институт разрабатывает и сопровождает пограничный шлюз MITR и верификационный стенд INDRA, выпускает монографию «Доказанное действие» и открытые программные пакеты под лицензией Apache-2.0 без привлечения сторонних субподрядчиков.