Burp Suite
技術部の松永です。「サーバーサイド・テンプレート・インジェクション」という脆弱性をご存じでしょうか。 Webアプリケーションの開発やセキュリティテストに関わったことのある方でも、あまり聞き馴染みの無い脆弱性ではないかと思います。サーバーサイド…
Burp Extension JSON Prettyの公開
以前の記事スマホへのBurpの証明書のインストール - DARK MATTERでスマホ端末にBurpの証明書をインストールする方法を紹介しました。インストールされる証明書は（共通のKeystoreをインポートしていない限り）そのBurp固有の証明書であるため、他のPCのBurp…
HTTPS通信をBurpでうまく閲覧できない問題を解決する切り口の１つとして、サーバ側でサポートする暗号化アルゴリズムを把握することが挙げられます。 サーバがサポートする暗号化アルゴリズムを把握することで、例えば暗号化アルゴリズムの強度の制限による…
こんにちは。技術部エンジニアの松永です。 Burp Suite Japan(@BurpSuiteJapan)にて告知していました、HTTPリクエストのコピーツールを公開しましたので、簡単に紹介したいと思います。 Burp Extension 以下のGithubリポジトリで公開しています。https://git…
Oracle javaでBurpを起動してHTTPSのサイトを閲覧しようとすると、Alertタブに以下のメッセージが表示されて通信に失敗することがあります。 You have limited key lengths available. To use stronger keys, please download and install the JCE unlimited…
こんにちは。技術部エンジニアの松永です。 PC・スマホアプリケーションや組込機器の脆弱性診断の現場では、クライアント（アプリや機器）とサーバー間の通信に Web API が使用されるケースによく遭遇します。 Web APIの診断には、弊社では主に Burp Suite P…
弊社ではPC上のブラウザで表示するWebアプリケーションの診断だけでなく、iOSやAndroid端末上のネイティブアプリケーションが使用するWeb APIもよく診断しています。 診断に使用するProxyツールはPCと同様にBurp(Burp Suite)を使用しています。 対象のネイテ…
