Burp Suite proxy: Bắt và kiểm tra request khi kiểm thử web

Burp Suite proxy là thành phần trung tâm của bộ công cụ kiểm thử bảo mật web Burp Suite, đứng giữa trình duyệt và máy chủ để chặn bắt, xem và sửa từng request. Đây là công cụ chuẩn của người kiểm thử xâm nhập, dùng để tìm lỗ hổng trong ứng dụng của chính mình hoặc hệ thống được ủy quyền. Bài này ProxyVN hướng dẫn cài chứng chỉ, đặt proxy cho trình duyệt và điện thoại, các thao tác chặn bắt cơ bản, và cách cho Burp đi ra qua proxy khác. Tham khảo dịch vụ tại ProxyVN.

Tổng quan về Burp Suite proxy

Trước khi cài đặt, anh em cần hiểu công cụ này làm gì, phiên bản nào phù hợp, và giới hạn pháp lý khi sử dụng. Phần pháp lý không phải thủ tục, mà là ranh giới giữa kiểm thử bảo mật và hành vi phạm pháp.

Burp Suite là gì

Burp Suite do công ty PortSwigger phát triển, là bộ công cụ kiểm thử ứng dụng web phổ biến nhất hiện nay. Theo tài liệu Burp Proxy của PortSwigger, Burp Proxy là một web proxy đứng giữa trình duyệt và ứng dụng đích, cho phép chặn, xem và sửa lưu lượng theo cả hai chiều, kể cả HTTPS. Nó là thành phần cốt lõi trong quy trình làm việc thủ công, từ đây anh em gửi request sang các công cụ khác của Burp.

Về bản chất kỹ thuật, Burp làm đúng việc mà một cuộc tấn công trung gian làm: đứng giữa và đọc lưu lượng. Khác biệt là người kiểm thử chủ động cài chứng chỉ của Burp vào máy của mình, trên hệ thống mình được phép kiểm tra. Cơ chế tấn công trung gian thật được giải thích trong bài tấn công MITM.

Community và Professional

Burp Suite có hai phiên bản cho cá nhân, khác nhau ở mức độ tự động hoá:

• Community Edition: miễn phí, có đủ Proxy, Repeater, Decoder, Comparer, Intruder bị giới hạn tốc độ, không lưu được dự án ra tệp.
• Professional: trả phí theo năm, có thêm trình quét lỗ hổng tự động, Intruder không giới hạn, lưu dự án, tiện ích mở rộng nâng cao.

Với người mới học và kiểm thử thủ công, bản Community là đủ. Phần Proxy trong hai bản gần như giống nhau. Đừng dùng bản bẻ khoá trôi nổi trên mạng, công cụ bảo mật bị cài mã độc là chuyện đã xảy ra nhiều lần, và đó cũng là vi phạm bản quyền.

Phạm vi sử dụng hợp pháp

Chỉ dùng Burp với ứng dụng anh em sở hữu, ứng dụng của công ty khi được giao nhiệm vụ bằng văn bản, chương trình săn lỗi có phạm vi công bố rõ ràng, hoặc các phòng lab luyện tập. Can thiệp vào hệ thống của người khác khi chưa được phép là hành vi vi phạm pháp luật về an ninh mạng, bất kể mục đích.

Môi trường luyện tập tốt nhất là Web Security Academy của chính PortSwigger, miễn phí, có hơn 30 chủ đề như SQL injection, XSS, CSRF, SSRF, mỗi chủ đề kèm các phòng lab dựng sẵn để tấn công hợp pháp.

Cách Burp Suite proxy hoạt động

Đứng giữa trình duyệt và máy chủ

Hiểu cơ chế giúp anh em biết vì sao phải cài chứng chỉ và vì sao một số ứng dụng không chịu đi qua Burp. Phần này giải thích ngắn gọn luồng dữ liệu.

Proxy listener

Khi khởi động, Burp mở một proxy listener, mặc định lắng nghe ở `127.0.0.1:8080`. Trình duyệt được cấu hình gửi mọi request tới địa chỉ này thay vì gửi thẳng tới máy chủ. Burp nhận request, hiển thị cho anh em, rồi chuyển tiếp tới máy chủ thật và nhận phản hồi về.

Anh em xem và chỉnh listener trong Proxy > Proxy settings, mục Proxy listeners. Có thể thêm listener ở cổng khác, hoặc cho listener nghe trên mọi giao diện mạng để điện thoại trong cùng mạng kết nối vào.

Giải mã HTTPS bằng chứng chỉ riêng

Với HTTPS, trình duyệt mã hoá dữ liệu bằng khoá của máy chủ, proxy đứng giữa không đọc được. Burp giải quyết bằng cách tự đóng vai máy chủ: nó tạo chứng chỉ cho từng tên miền, ký bằng CA riêng của Burp. Trình duyệt chỉ chấp nhận chứng chỉ này khi CA của Burp đã được cài vào kho tin cậy.

Đây là lý do bước cài chứng chỉ là bắt buộc. Không cài, mọi trang HTTPS đều báo lỗi bảo mật. Mỗi bản cài Burp sinh một CA riêng, nên chứng chỉ của máy này không dùng được trên máy khác.

Trình duyệt tích hợp sẵn

Cách nhanh nhất để bắt đầu là dùng trình duyệt có sẵn trong Burp. Vào Proxy > Intercept, bấm Open browser. Trình duyệt này là bản Chromium đã cấu hình sẵn proxy và tin tưởng CA của Burp, mở ra là dùng được ngay mà không phải cài gì.

Cài chứng chỉ cho Burp Suite proxy

Tin tưởng chứng chỉ của công cụ

Khi muốn dùng trình duyệt quen thuộc của mình hoặc kiểm thử ứng dụng di động, anh em phải cài chứng chỉ CA của Burp thủ công. Theo hướng dẫn cài chứng chỉ của PortSwigger, bước đầu là tải chứng chỉ từ giao diện của Burp.

Tải chứng chỉ

Sau khi đặt proxy cho trình duyệt trỏ về `127.0.0.1:8080`, anh em mở địa chỉ `http://burpsuite`. Trang chào của Burp hiện ra với nút CA Certificate ở góc trên bên phải. Bấm vào để tải tệp `cacert.der` về máy.

Nếu địa chỉ `http://burpsuite` không mở được, thử truy cập thẳng địa chỉ listener `http://127.0.0.1:8080`. Trường hợp vẫn không được nghĩa là trình duyệt chưa đi qua Burp, cần kiểm tra lại cấu hình proxy.

Cài vào Firefox

Firefox dùng kho chứng chỉ riêng, không dùng kho của hệ điều hành. Các bước:

• Vào Settings, gõ "certificates" vào ô tìm kiếm.
• Bấm View Certificates.
• Chọn tab Authorities, bấm Import.
• Chọn tệp `cacert.der` vừa tải.
• Tích ô Trust this CA to identify websites, bấm OK.

Đóng toàn bộ cửa sổ Firefox rồi mở lại, truy cập một trang HTTPS bất kỳ. Không còn cảnh báo bảo mật là đã cài đúng.

Cài vào Chrome và Edge trên Windows

Chrome và Edge trên Windows dùng kho chứng chỉ của hệ điều hành. Anh em nhấp đúp tệp `cacert.der`, chọn Install Certificate, chọn Current User, chọn Place all certificates in the following store, bấm Browse rồi chọn Trusted Root Certification Authorities. Hoàn tất trình hướng dẫn và xác nhận cảnh báo bảo mật.

Chứng chỉ này cho phép Burp đọc mọi lưu lượng HTTPS của máy. Khi không còn kiểm thử, anh em nên gỡ chứng chỉ khỏi kho tin cậy, đặc biệt trên máy dùng hằng ngày cho ngân hàng và email.

Đặt trình duyệt đi qua Burp Suite proxy

Ngoài trình duyệt tích hợp, nhiều người kiểm thử thích dùng Firefox với hồ sơ riêng. Cách này tách biệt lưu lượng kiểm thử với lướt web cá nhân.

Cấu hình thủ công trong Firefox

Firefox có cài đặt proxy riêng, không ảnh hưởng toàn hệ thống. Vào Settings, kéo xuống Network Settings, bấm Settings, chọn Manual proxy configuration, nhập `127.0.0.1` vào ô HTTP Proxy, cổng `8080`, tích Also use this proxy for HTTPS. Hướng dẫn chung về cài proxy cho Firefox cũng áp dụng tương tự.

Nhược điểm là phải vào cài đặt mỗi lần bật tắt. Vì vậy nhiều người dùng một hồ sơ Firefox riêng chỉ cho kiểm thử, luôn trỏ về Burp.

Dùng tiện ích chuyển proxy nhanh

Tiện ích như FoxyProxy cho phép tạo nhiều cấu hình và chuyển bằng một cú bấm. Anh em tạo một cấu hình tên Burp trỏ về `127.0.0.1:8080`. Có thể đặt quy tắc chỉ cho tên miền đang kiểm thử đi qua Burp, các trang khác đi thẳng, giúp HTTP history gọn hơn nhiều.

Giới hạn phạm vi trong Burp

Trong Burp, vào Target > Scope, thêm tên miền đang kiểm thử vào phạm vi. Sau đó lọc HTTP history chỉ hiện mục trong phạm vi. Bước này tránh việc lịch sử ngập request của quảng cáo, thống kê, cập nhật trình duyệt. Nó cũng giúp không vô tình gửi request kiểm thử tới hệ thống ngoài phạm vi được phép.

Thao tác chính với Burp Suite proxy

Chặn, sửa rồi gửi lại

Phần này đi qua các thao tác anh em dùng hằng ngày: chặn bắt, xem lịch sử, gửi sang Repeater và tự động thay thế nội dung.

Intercept: chặn và sửa request

Trong tab Proxy > Intercept, nút Intercept is on bật chế độ chặn. Mỗi request từ trình duyệt sẽ dừng lại ở đây chờ anh em xử lý:

• Forward: gửi request đi, có thể sau khi đã sửa nội dung.
• Drop: huỷ request, không gửi tới máy chủ.
• Action hoặc chuột phải: gửi sang công cụ khác như Repeater.

Ví dụ kiểm thử phổ biến là sửa giá trị một tham số trước khi gửi, xem máy chủ có kiểm tra lại không. Khi không cần chặn, tắt Intercept đi để trình duyệt chạy bình thường, Burp vẫn ghi lại mọi request vào lịch sử.

HTTP history

Tab HTTP history ghi lại toàn bộ request và phản hồi đã đi qua. Đây là nơi anh em dành nhiều thời gian nhất: xem ứng dụng gọi API nào, gửi tham số gì, nhận về dữ liệu gì. Bộ lọc phía trên cho phép lọc theo phạm vi, mã trạng thái, loại tệp, từ khoá.

Ngoài HTTP history còn có WebSockets history cho ứng dụng thời gian thực. Nhiều lỗi logic của ứng dụng chat hay bảng điều khiển trực tiếp nằm trong các tin nhắn WebSocket này.

Repeater: gửi lại nhiều lần

Chọn một request trong lịch sử, nhấn `Ctrl+R` để gửi sang Repeater. Ở đây anh em sửa request rồi bấm Send bao nhiêu lần cũng được, phản hồi hiện ngay bên cạnh. Đây là công cụ chính để thử từng giả thuyết một cách thủ công.

So với Intercept, Repeater không làm gián đoạn trình duyệt và giữ lại lịch sử từng lần gửi. Người kiểm thử có kinh nghiệm thường dùng Intercept rất ít, chủ yếu duyệt ứng dụng bình thường rồi chọn request đáng ngờ từ lịch sử gửi sang Repeater.

Match and replace

Trong phần cài đặt Proxy có mục Match and replace, tự động thay thế nội dung request hoặc phản hồi theo quy tắc. Ví dụ đổi header User-Agent sang chuỗi của điện thoại để xem phiên bản di động, hoặc thêm một header xác thực vào mọi request. Tính năng này tiết kiệm nhiều thao tác lặp lại.

Kiểm thử ứng dụng di động qua Burp Suite proxy

Ứng dụng di động gọi API rất nhiều, và nhiều lỗ hổng nằm ở API chứ không ở giao diện. Đưa lưu lượng điện thoại qua Burp đòi hỏi vài bước thêm.

Mở listener cho mạng LAN

Mặc định listener chỉ nghe trên `127.0.0.1`, điện thoại không kết nối được. Anh em vào Proxy settings > Proxy listeners, sửa listener, chọn All interfaces hoặc IP LAN cụ thể của máy tính. Đảm bảo máy tính và điện thoại cùng mạng wifi, và tường lửa của máy tính cho phép cổng 8080.

Trên điện thoại, vào cài đặt wifi, chọn proxy thủ công, nhập IP máy tính và cổng 8080. Sau đó mở trình duyệt điện thoại, vào `http://burpsuite` để tải và cài chứng chỉ theo hướng dẫn cho iOS hoặc Android.

Hạn chế trên Android và iOS

Từ Android 7, ứng dụng mặc định không tin chứng chỉ do người dùng cài, chỉ tin chứng chỉ hệ thống. Với ứng dụng của chính mình, anh em thêm cấu hình `network_security_config` cho phép tin chứng chỉ người dùng trong bản debug. Với iOS, sau khi cài hồ sơ chứng chỉ phải vào Settings > General > About > Certificate Trust Settings để bật tin tưởng đầy đủ.

Nhiều ứng dụng còn dùng certificate pinning, chỉ chấp nhận đúng chứng chỉ của máy chủ thật. Khi kiểm thử ứng dụng của chính đội mình, cách đúng là tạo bản build kiểm thử tắt pinning, thay vì tìm cách vượt qua trên bản phát hành. Hướng dẫn tương tự với công cụ khác có trong bài dùng Charles theo dõi traffic trên Android.

Quy trình kiểm thử một tính năng bằng Burp Suite proxy

Biết từng nút bấm chưa đủ, anh em cần một trình tự làm việc để không bỏ sót. Phần này mô tả quy trình mẫu khi kiểm thử một tính năng trên ứng dụng của chính mình hoặc trong phòng lab của Web Security Academy.

Bước 1: Duyệt tính năng như người dùng bình thường

Tắt Intercept, dùng trình duyệt đi qua Burp và thao tác tính năng từ đầu đến cuối như người dùng thật: đăng nhập, xem hồ sơ, sửa thông tin, đăng xuất. Mục đích là để Burp ghi lại toàn bộ request liên quan vào HTTP history mà không làm gián đoạn luồng thao tác.

Nên dùng hai tài khoản thử nghiệm có quyền khác nhau, ví dụ một tài khoản thường và một tài khoản quản trị. Nhiều lỗ hổng phân quyền chỉ lộ ra khi so sánh request của hai tài khoản.

Bước 2: Đọc lịch sử và đánh dấu điểm đáng ngờ

Lọc HTTP history theo phạm vi, đọc lần lượt từng request. Chú ý các tham số chứa ID như `user_id=1052`, các trường ẩn trong biểu mẫu, header tuỳ biến, và các API trả về nhiều dữ liệu hơn giao diện hiển thị. Burp cho phép tô màu và ghi chú từng dòng lịch sử, rất tiện để đánh dấu.

Bước 3: Thử giả thuyết trong Repeater

Gửi request đáng ngờ sang Repeater rồi thử từng giả thuyết. Ví dụ đổi `user_id` sang ID của tài khoản thứ hai, gửi bằng phiên của tài khoản thứ nhất. Nếu máy chủ trả về dữ liệu của người khác, đó là lỗi kiểm soát truy cập, một trong những lỗi phổ biến nhất của ứng dụng web.

Mỗi phát hiện cần ghi lại request gốc, request đã sửa và phản hồi. Burp cho phép sao chép request dạng curl, giúp lập trình viên tái hiện lỗi dễ dàng khi đọc báo cáo.

Bước 4: Báo cáo và kiểm tra lại

Sau khi đội phát triển sửa, anh em mở lại Repeater, gửi đúng request đã ghi để xác nhận lỗi không còn. Với bản Professional, lưu dự án ra tệp giúp giữ nguyên toàn bộ lịch sử cho lần kiểm tra lại. Bản Community không lưu được dự án, nên cần xuất các request quan trọng ra tệp riêng trước khi đóng Burp.

Bảo vệ máy kiểm thử khi dùng Burp Suite proxy

Máy dùng để kiểm thử chứa chứng chỉ CA có thể giải mã mọi HTTPS, cùng lịch sử request có thể chứa mật khẩu và token. Bảo vệ máy này cũng quan trọng như bảo vệ hệ thống đang kiểm thử.

Tách biệt môi trường

Nên dùng một máy ảo hoặc một hồ sơ người dùng riêng cho kiểm thử, không cài chứng chỉ Burp lên trình duyệt dùng hằng ngày. Khi kết thúc dự án, xoá máy ảo hoặc gỡ chứng chỉ. Cách này tránh trường hợp chứng chỉ CA của Burp bị đánh cắp và dùng để giải mã lưu lượng cá nhân.

Không để listener mở ngoài ý muốn

Sau khi kiểm thử điện thoại, nhớ trả listener về chỉ nghe trên `127.0.0.1`. Listener mở trên mọi giao diện trong mạng quán cà phê hay mạng công cộng cho phép người khác dùng Burp của anh em làm proxy, thậm chí đọc lịch sử nếu có cấu hình sai. Đây là lỗi nhỏ nhưng hậu quả có thể lớn.

Burp Suite proxy đi ra qua upstream proxy

Đi ra ngoài qua proxy khác

Trong nhiều tình huống, chính Burp cũng cần đi ra Internet qua một proxy khác. Burp hỗ trợ việc này qua phần cài đặt kết nối mạng.

Khi nào cần upstream proxy

Ba tình huống hay gặp nhất:

• Máy kiểm thử nằm trong mạng công ty bắt buộc đi qua proxy mới ra được Internet.
• Kiểm thử tính năng phụ thuộc vị trí, ví dụ nội dung hay giá khác nhau theo quốc gia, cần IP của khu vực đó.
• Ứng dụng đích chỉ cho phép một số IP truy cập môi trường thử nghiệm, và IP được phép là IP của proxy.

Mô hình trình duyệt qua Burp rồi qua một proxy nữa chính là chuỗi proxy. Nguyên lý và các lưu ý khi nối nhiều proxy có trong bài proxy chaining là gì.

Cấu hình Upstream proxy servers

Theo tài liệu cài đặt kết nối của Burp, anh em vào Settings, chọn Network > Connections, phần Upstream proxy servers:

• Bấm Add để mở hộp Add upstream proxy rule.
• Destination host: tên miền áp dụng, dùng `*` để áp dụng cho mọi đích.
• Proxy host và Proxy port: địa chỉ proxy đi ra.
• Authentication type: chọn Basic, NTLMv1 hoặc NTLMv2 nếu proxy cần xác thực, rồi nhập Username, Password.
• Bấm OK để lưu.

Burp áp dụng quy tắc khớp đầu tiên theo thứ tự trong danh sách. Muốn một số máy đi thẳng, tạo quy tắc riêng cho máy đó với ô Proxy host để trống và đặt nó lên trên quy tắc `*`.

Dùng SOCKS proxy

Với proxy SOCKS5, cùng trang cài đặt có mục SOCKS proxy. Tích Use SOCKS proxy, nhập host, port, tên đăng nhập và mật khẩu nếu có. Nên tích Do DNS lookups over SOCKS proxy để phân giải tên miền ở phía proxy, tránh DNS của máy kiểm thử trả kết quả khác vùng đang thử.

Khi cần IP Việt Nam ổn định để kiểm thử tính năng theo vùng cho ứng dụng của chính mình, anh em có thể mua proxy giá rẻ tại ProxyVN, gồm dân cư tĩnh Viettel, VNPT, FPT và datacenter, hỗ trợ cả HTTP lẫn SOCKS5 với tên đăng nhập và mật khẩu nhập thẳng vào Burp.

So sánh Burp Suite proxy với mitmproxy và Charles

Burp không phải công cụ chặn bắt duy nhất. Tuỳ mục đích kiểm thử bảo mật hay gỡ lỗi phát triển, công cụ khác có thể hợp hơn.

Bảng so sánh nhanh

Bảng dưới so sánh ba công cụ phổ biến nhất:

Nếu anh em cần tự động hoá xử lý lưu lượng bằng Python, bài mitmproxy phù hợp hơn. Nếu chỉ cần gỡ lỗi API khi phát triển ứng dụng, Charles proxy có giao diện thân thiện hơn.

Khi nào chọn Burp

Burp hợp nhất khi mục tiêu là tìm lỗ hổng: thử các kiểu tấn công, so sánh phản hồi, theo dõi phiên đăng nhập, gửi hàng loạt biến thể của một tham số. Hệ sinh thái tiện ích mở rộng BApp Store và tài liệu đào tạo của PortSwigger cũng là lợi thế lớn. Chứng chỉ Burp Suite Certified Practitioner được nhiều nhà tuyển dụng ngành bảo mật công nhận.

Sửa lỗi thường gặp với Burp Suite proxy

Đa số lỗi khi mới dùng Burp liên quan tới chứng chỉ, cổng bị chiếm hoặc trình duyệt không đi qua proxy. Phần này gom các tình huống hay gặp.

Trình duyệt báo lỗi chứng chỉ

Cảnh báo "Your connection is not private" nghĩa là CA của Burp chưa được tin tưởng trong trình duyệt đang dùng. Kiểm tra lại đã cài đúng kho, Firefox dùng kho riêng còn Chrome dùng kho hệ điều hành. Trang có HSTS sẽ không cho bấm bỏ qua cảnh báo, buộc phải cài chứng chỉ đúng cách.

Cổng 8080 đã bị chiếm

Khi khởi động, Burp báo không mở được listener nếu cổng 8080 đã có chương trình khác dùng, thường là máy chủ phát triển hay Tomcat. Anh em đổi listener sang cổng khác như 8081 rồi cập nhật cấu hình proxy trên trình duyệt tương ứng.

Không thấy request trong lịch sử

Nếu duyệt web mà HTTP history trống, trình duyệt chưa đi qua Burp. Thử truy cập `http://burpsuite`, nếu không ra trang chào thì cấu hình proxy trình duyệt sai. Nếu ra trang chào nhưng lịch sử vẫn trống, kiểm tra bộ lọc đang ẩn mục ngoài phạm vi hay không.

Ứng dụng chạy chậm hoặc lỗi lạ

Tài liệu PortSwigger lưu ý việc dùng Burp Proxy có thể gây hiệu ứng bất ngờ với một số ứng dụng, nên làm quen trên hệ thống không phải môi trường thật trước. Intercept quên tắt là nguyên nhân phổ biến nhất khiến trang treo, vì request đang chờ anh em bấm Forward.

Kết luận

Burp Suite proxy là công cụ nền tảng để kiểm thử bảo mật web: cài chứng chỉ, đưa trình duyệt hoặc điện thoại qua Burp, chặn bắt, xem lịch sử và thử lại bằng Repeater. Chỉ dùng trên hệ thống được ủy quyền. Cần proxy đi ra cho kiểm thử theo vùng, hãy liên hệ Proxy.vn - Nhà cung cấp dịch vụ proxy chất lượng hàng đầu Việt Nam khi dùng Burp Suite proxy.