Lỗi proxy Burp Suite: upstream proxy, 407, SOCKS và chứng chỉ

Lỗi proxy Burp Suite thường xuất hiện khi Burp phải đi tiếp qua một proxy khác để ra Internet, gọi là upstream proxy. Trình duyệt báo lỗi, lịch sử HTTP trống, hoặc Burp không tải được tiện ích. ProxyVN đọc tài liệu đi kèm bản Burp Community 2026.3.3 và tái hiện từng lớp mạng bằng proxy tự dựng tới máy chủ thật. Bài chỉ cách khoanh vùng lỗi ở lớp nào.

Lỗi proxy Burp Suite thường gặp và bảng tra nhanh

Bài này là phần chẩn đoán đi kèm bài Burp Suite proxy, nơi đã hướng dẫn cài chứng chỉ, chặn sửa request và cấu hình Upstream proxy servers cơ bản. Ở đây chỉ tập trung vào lỗi khi Burp đi qua proxy khác. Chỉ dùng Burp trên ứng dụng anh em sở hữu hoặc được phép kiểm thử.

Bảng tra từ hiện tượng

Bảng: Bảng tra từ hiện tượng

Hiện tượng	Nguyên nhân hay gặp	Mục cần đọc
Trang lỗi 407 dù trình duyệt đã có tài khoản proxy	Tài khoản phải khai trong quy tắc upstream của Burp	Lỗi 407
Mọi trang lỗi kết nối ngay sau khi bật upstream	Sai máy, sai cổng, hoặc proxy công ty chặn	Không tới được upstream
Trang thường chạy, trang dùng cổng lạ lỗi 403	Upstream chỉ mở cổng 443	Lọc cổng
Bật SOCKS xong upstream không chạy	SOCKS nằm dưới upstream, không tới được upstream	SOCKS
Tên proxy nội bộ không tra được	DNS tra ở máy thay vì qua SOCKS	DNS
Proxy NTLM của công ty từ chối	Sai kiểu xác thực hoặc thiếu Domain	NTLM
Lỗi chứng chỉ khi tải tiện ích, dùng AI	Proxy công ty giải mã HTTPS	Chứng chỉ
Request chạy vòng mãi, Burp chậm dần	Burp trỏ upstream về chính nó	Vòng lặp

Hai đoạn đường cần tách bạch

Khi có upstream, mỗi request đi hai đoạn. Đoạn một: trình duyệt tới proxy listener của Burp, thường 127.0.0.1 cổng 8080. Đoạn hai: Burp tới upstream proxy rồi ra máy chủ đích. Lỗi đoạn một thì Burp không thấy request nào trong HTTP history. Lỗi đoạn hai thì Burp thấy request nhưng trả về trang lỗi. Nhìn HTTP history là biết lỗi ở đoạn nào.

Nguồn và cách tái hiện lỗi proxy Burp Suite

Đã tải Burp nhưng không chạy được

Mình tải bản Burp Suite Community 2026.3.3 dạng JAR từ trang chính thức của PortSwigger, mã băm SHA256 khớp với trang phát hành. Bản này cần Java 21, máy thử chỉ có Java 8, nên mình tải thêm Java 21 của Eclipse Temurin, mã băm cũng khớp. Chế độ an toàn của máy làm việc chặn chạy phần mềm tải về, nên mình không chạy được Burp. Bài không mô tả giao diện theo trí nhớ mà dựa vào tài liệu.

Tài liệu đi kèm trong gói Burp

Gói JAR có sẵn bộ tài liệu của chính phiên bản đó. Mình đọc các trang Connections settings, Proxy settings và trang hướng dẫn xử lý lỗi kết nối, đối chiếu với trang Connections trên portswigger.net. Những câu trích trong bài lấy từ đó.

Tái hiện lớp mạng bằng curl

Burp khi đi upstream làm đúng việc của một máy khách proxy: gửi CONNECT tới upstream, có thể qua SOCKS trước. Mình dựng proxy HTTP và SOCKS5 có mật khẩu trên máy, cộng một proxy HTTP giả lập nhà cung cấp chỉ mở cổng 443, rồi dùng curl đi qua đúng các tổ hợp đó tới portswigger.net thật. curl có tham số --preproxy để đặt SOCKS nằm dưới proxy HTTP, đúng mô hình tài liệu Burp mô tả. Kết quả cho biết upstream trả gì trong từng tình huống. Burp nhận đúng các phản hồi đó và hiện lên trang lỗi của nó.

Lỗi proxy Burp Suite ở đoạn trình duyệt tới Burp

Trước khi nghi upstream, phải chắc đoạn đầu chạy. Nếu HTTP history trống, lỗi chưa hề tới upstream.

Listener không chạy vì cổng 8080 bị chiếm

Tài liệu đi kèm ghi mặc định Burp tạo một listener ở 127.0.0.1 cổng 8080. Vào Settings, Tools, Proxy, khung Proxy listeners, dòng 127.0.0.1:8080 phải có dấu ở cột Running. Không có thì dùng Restore defaults. Vẫn không chạy thì cổng 8080 đang bị chương trình khác dùng, tài liệu khuyên đổi sang cổng khác trong ô Bind to port.

Trên Windows, lệnh netstat -ano kèm findstr :8080 cho biết tiến trình nào đang giữ cổng. Các công cụ hay chiếm 8080 là máy chủ phát triển web, Tomcat, Jenkins, hoặc một công cụ proxy khác. Đổi cổng Burp thì nhớ đổi cả cổng trong cấu hình proxy của trình duyệt.

Trình duyệt bỏ qua proxy cho địa chỉ cục bộ

Kiểm thử ứng dụng chạy ở localhost là trường hợp rất hay lỗi. Chromium mặc định không gửi request tới localhost qua proxy. Mình thử Edge 156 đặt proxy tới proxy thử rồi mở http://localhost:8911: request đi thẳng, proxy không nhận được gì. Thêm quy tắc bỏ qua đặc biệt <-loopback> vào danh sách bỏ qua, cùng request đi qua proxy, trang đích nhận đúng tiêu đề do proxy chèn vào.

Firefox cũng vậy: bảng thiết lập của Gecko có thuộc tính network.proxy.allow_hijacking_localhost mặc định tắt. Tài liệu Burp cho Chrome trên Windows dặn bỏ chọn "Don't use the proxy server for local (intranet) addresses", cho Firefox dặn xóa hết ô No proxy for. Ứng dụng ở localhost vẫn không vào Burp thì dùng trình duyệt tích hợp của Burp, hoặc truy cập ứng dụng bằng tên máy hay địa chỉ IP mạng nội bộ thay vì localhost.

Không tải được chứng chỉ ở http://burpsuite

Trang xử lý lỗi trong tài liệu ghi: muốn mở http://burpsuite để tải chứng chỉ, trình duyệt phải đang gửi request qua listener. Bị chuyển về trang báo lỗi nghĩa là cấu hình proxy của trình duyệt chưa đúng hoặc Burp chưa chạy. Đây là lỗi đoạn một, không liên quan upstream.

Lỗi proxy Burp Suite 407 dù trình duyệt đã có tài khoản

Burp bỏ tiêu đề Proxy-Authorization của trình duyệt

Đây là bẫy hay gặp nhất. Trang Proxy settings ghi tùy chọn "Strip Proxy-* headers in incoming requests" bật mặc định: Burp bỏ các tiêu đề Proxy-* trong request từ trình duyệt để tránh lộ thông tin. Nghĩa là tài khoản proxy mà trình duyệt gửi không bao giờ tới được upstream. Upstream không thấy tài khoản, trả 407.

Mình tái hiện bằng một request tới upstream không kèm tài khoản. Với đích HTTPS, curl báo "CONNECT tunnel failed, response 407" và nhật ký proxy ghi không có tài khoản nào được gửi. Với đích http, upstream trả thẳng trang 407. Trong Burp, cả hai hiện thành trang lỗi trên trình duyệt.

Cách sửa đúng

Khai tài khoản trong chính quy tắc upstream của Burp:

1. Mở Settings, chọn Network, rồi Connections.

2. Ở mục Upstream proxy servers, bấm Add để mở hộp Add upstream proxy rule.

3. Destination host: ghi dấu sao để áp dụng cho mọi đích.

4. Proxy host, Proxy port: địa chỉ upstream.

5. Authentication type: chọn Basic với proxy thương mại, nhập Username, Password.

6. Bấm OK.

Không tắt tùy chọn bỏ tiêu đề Proxy-* để "cho tài khoản đi qua". Tài liệu nói rõ tùy chọn này chống rò thông tin, và cách đúng là để Burp tự xác thực với upstream.

Kiểm Burp đã gửi tài khoản chưa

Burp không có màn hình hiện bước bắt tay với upstream, nên khó biết tài khoản đã được gửi hay chưa. Ba cách kiểm gián tiếp. Thứ nhất, nhiều nhà cung cấp có trang quản lý ghi lịch sử kết nối theo tài khoản, thấy kết nối mới là tài khoản đã đúng. Thứ hai, đổi tạm Authentication type sang trống rồi thử lại, nếu lỗi y hệt thì Burp chưa hề dùng quy tắc đó, có thể do thứ tự quy tắc hoặc cấp dự án. Thứ ba, chạy lệnh curl qua upstream với cùng tài khoản: curl chạy mà Burp lỗi thì vấn đề nằm ở cách nhập trong Burp, không phải ở tài khoản.

Mật khẩu có ký tự đặc biệt

Trong hộp Add upstream proxy rule, mật khẩu nhập nguyên văn vào ô Password, không cần mã hóa. Khi kiểm bằng curl thì khác: @ phải thành %40, # thành %23. Mình dùng mật khẩu p@ss#2026 trong mọi phép thử. Ghi nhầm cách mã hóa vào ô Password của Burp sẽ cho 407 dù mật khẩu đúng. Bài sửa lỗi 407 Proxy Authentication Required có thêm các nguyên nhân 407 khác.

Tài khoản proxy phải khai trong Burp

Lỗi proxy Burp Suite khi không tới được upstream

Sai máy hoặc sai cổng

Với cổng upstream sai, curl báo "Failed to connect to portswigger.net:443 over proxy 127.0.0.1 after 2043 ms: Could not connect to server". Câu này ghi cả đích lẫn proxy, cho biết lỗi nằm ở bước tới proxy. Hai giây là thời gian Windows thử kết nối rồi bỏ, tức bị từ chối chứ không phải hết giờ.

Quy tắc nào đang áp dụng

Tài liệu ghi Burp xét các quy tắc theo thứ tự, dùng quy tắc đầu tiên khớp với máy đích. Không quy tắc nào khớp thì kết nối thẳng. Ô Proxy host để trống nghĩa là đi thẳng. Hai hệ quả:

• Quy tắc đi thẳng cho một máy phải đặt trên quy tắc dấu sao, nếu không quy tắc dấu sao khớp trước.
• Quy tắc chỉ ghi một tên miền cụ thể, mọi máy khác đi thẳng. Trong mạng bắt buộc proxy, các máy đó lỗi kết nối.

Dùng nút Up, Down để đổi thứ tự. Tài liệu ghi dấu sao khớp không hoặc nhiều ký tự, dấu hỏi khớp một ký tự trừ dấu chấm.

Cài đặt cấp người dùng và cấp dự án

Upstream proxy servers có thể đặt ở cấp người dùng hoặc cấp dự án. Khi đánh dấu "Override options for this project only", dự án dùng cấu hình riêng. Lỗi hay gặp: sửa upstream ở cấp người dùng mà dự án đang ghi đè, nên thay đổi không có tác dụng. Mở đúng cấp đang dùng để sửa.

Upstream chỉ mở cổng 443

Nhiều proxy thương mại chỉ cho CONNECT tới cổng 443. Mình thử proxy giả lập chính sách đó: đích portswigger.net cổng 443 trả 200, cùng đích cổng 8443 nhận "CONNECT tunnel failed, response 403". Kiểm thử ứng dụng chạy ở cổng 8443, 8080 hay 9443 qua upstream như vậy sẽ lỗi 403 trong khi trang thường vẫn chạy. Hỏi nhà cung cấp danh sách cổng được mở.

Lỗi proxy Burp Suite khi bật SOCKS

SOCKS nằm dưới upstream, không thay upstream

Tài liệu ghi SOCKS proxy áp dụng ở tầng TCP, mọi kết nối ra ngoài đều đi qua SOCKS, kể cả kết nối tới upstream HTTP. Nhiều người hiểu nhầm là bật SOCKS thì Burp bỏ upstream. Thực tế Burp mở kết nối qua SOCKS tới upstream, rồi mới gửi CONNECT cho upstream.

Mình tái hiện bằng curl với --preproxy socks5h và -x tới upstream HTTP. Nhật ký ghi đúng hai bước: proxy SOCKS nhận lệnh CONNECT tới địa chỉ của upstream, sau đó upstream nhận CONNECT portswigger.net:443 kèm tài khoản. Kết quả 200.

Hệ quả khi SOCKS không tới được upstream

Vì SOCKS đi trước, upstream phải tới được từ phía máy SOCKS. Upstream nằm trong mạng công ty, còn SOCKS là proxy thương mại ở ngoài, thì SOCKS không tới được upstream. Mọi request lỗi. Hai cách xử lý: tắt một trong hai, hoặc thêm địa chỉ upstream vào mục Hosts to bypass SOCKS proxying để kết nối tới upstream đi thẳng.

DNS của tên proxy nội bộ

Mình thử upstream có tên proxy.noibo.test, tên chỉ phía proxy tra được. Đi qua socks5h, proxy SOCKS nhận chữ proxy.noibo.test và tự tra, kết quả 200. Đi qua socks5 thường, curl tự tra trên máy, báo "Could not resolve host: proxy.noibo.test". Trong Burp, ô "Do DNS lookups over SOCKS proxy" quyết định việc này. Tài liệu ghi khi bật, Burp không tra tên miền nào trên máy. Upstream dùng tên nội bộ chỉ phía SOCKS biết thì phải bật ô này.

Danh sách bỏ qua SOCKS dùng thế nào

Mục Hosts to bypass SOCKS proxying có các nút Add, Paste, Load để nhập danh sách máy. Với máy trong danh sách, Burp không đi qua SOCKS. Ba nhóm nên có mặt: chính máy upstream nếu upstream nằm trong mạng nội bộ, các máy chủ ứng dụng thử nằm trong mạng nội bộ, và 127.0.0.1 cùng localhost nếu có dịch vụ cục bộ. Thiếu nhóm đầu, Burp cố đi qua SOCKS ra ngoài rồi quay vào mạng nội bộ, thường thất bại.

Danh sách này độc lập với quy tắc upstream. Một máy có thể đi thẳng không qua SOCKS nhưng vẫn qua upstream, hoặc ngược lại. Ghi ra một bảng nhỏ cho từng máy đích: có qua SOCKS không, có qua upstream không, để không bị rối khi cấu hình nhiều lớp.

SOCKS có mật khẩu

Hộp cấu hình SOCKS có ô Username, Password. Khác với trình duyệt Chromium không gửi được tài khoản SOCKS5, Burp tự gửi. Đây là một lý do người ta đặt SOCKS trong Burp thay vì trong trình duyệt. Bài proxy HTTP và SOCKS5 so sánh hai loại.

SOCKS nằm dưới upstream

Lỗi proxy Burp Suite với proxy NTLM của công ty

Burp hỗ trợ những kiểu xác thực nào

Hộp Add upstream proxy rule cho chọn Authentication type là Basic, NTLMv1 hoặc NTLMv2. Với NTLM có thêm ô Domain, Domain hostname, và các tùy chọn SPNEGO encoding, Negotiate auth scheme. Proxy công ty dùng Windows thường đòi NTLM hoặc Negotiate. Chọn Basic cho proxy NTLM sẽ luôn nhận 407.

Đọc proxy đòi kiểu gì

Chạy curl -v qua proxy công ty và tìm dòng Proxy-Authenticate trong phản hồi 407. Thấy Basic thì chọn Basic. Thấy NTLM thì chọn NTLMv2 trước, điền Domain là tên miền Windows. Thấy Negotiate thì thử bật Negotiate auth scheme. Thông tin này IT cũng có thể cung cấp.

Khi NTLM vẫn không chạy

Diễn đàn PortSwigger có các báo cáo cũ về lỗi kiểu "no ntlm challenge received" dù tài khoản đúng. Khi đã thử đúng kiểu mà vẫn lỗi, cách phổ biến là chạy một proxy trung gian cục bộ như CNTLM hoặc Px, lo phần xác thực Windows. Burp trỏ upstream về 127.0.0.1 với Authentication type để trống. Bài proxy chaining là gì giải thích việc nối nhiều proxy.

Platform authentication không phải xác thực proxy

Cùng trang Connections có mục Platform authentication, cũng có Basic, NTLMv1, NTLMv2. Mục này dùng để Burp tự đăng nhập vào máy chủ web đích, không phải vào proxy. Điền tài khoản proxy vào đây sẽ không sửa được 407. Tài khoản proxy chỉ khai trong quy tắc upstream.

Lỗi proxy Burp Suite về chứng chỉ khi proxy công ty giải mã HTTPS

Dấu hiệu

Burp chặn sửa request bình thường, nhưng tải tiện ích từ BApp Store lỗi, tính năng AI báo không kết nối, hoặc trang đích báo lỗi chứng chỉ phía máy chủ. Trang hướng dẫn xử lý lỗi kết nối AI trong gói Burp mô tả đúng tình huống: proxy chặn bắt như ZScaler giải mã HTTPS rồi ký lại chứng chỉ, Burp mặc định không tin các chứng chỉ này.

Kiểm ai cấp chứng chỉ

Tài liệu hướng dẫn: mở trang cần kiểm qua trình duyệt của Burp, vào Settings, Network, TLS, mục Server TLS certificates, xem nơi cấp của trang đó. Nơi cấp là hãng chứng chỉ lớn thì không bị chặn bắt. Nơi cấp là tên thiết bị bảo mật hay tên công ty thì lưu lượng đang bị giải mã. Mình kiểm từ mạng thử: chứng chỉ của portswigger.net do Amazon cấp.

Ba cách xử lý theo tài liệu

• Đề nghị IT thêm tên miền cần dùng vào danh sách không giải mã của proxy chặn bắt.
• Trên Windows, cho Burp dùng kho chứng chỉ của hệ thống. Tạo file user.vmoptions, thêm dòng -Djavax.net.ssl.trustStoreType=WINDOWS-ROOT, khởi động lại Burp.
• Nhập chứng chỉ của proxy chặn bắt vào kho chứng chỉ Java mà Burp dùng. Đường dẫn Java xem ở Help, Diagnostics, mục java.home.

Cách thứ hai nhanh nhất nếu IT đã cài chứng chỉ công ty vào Windows. Không tắt kiểm tra chứng chỉ phía máy chủ đích để vượt lỗi, vì như vậy chính kết quả kiểm thử cũng không còn đáng tin.

Kiểm ai cấp chứng chỉ

Lỗi proxy Burp Suite do vòng lặp proxy

Dấu hiệu

Burp chậm dần, HTTP history đầy request lặp lại tới cùng một địa chỉ, hoặc trình duyệt treo rồi báo hết giờ. Diễn đàn PortSwigger từng có báo cáo cấu hình upstream của dự án tự điền và gây vòng lặp vô hạn khi nối với Fiddler.

Nguyên nhân

Vòng lặp xảy ra khi upstream của Burp, sau một hay nhiều bước, quay về chính listener của Burp. Kiểu hay gặp: Windows đặt proxy hệ thống là 127.0.0.1:8080 để trình duyệt đi qua Burp, rồi một công cụ khác như Fiddler hay Charles cũng đọc proxy hệ thống, và Burp lại đặt upstream là công cụ đó. Request đi vòng Burp, công cụ kia, rồi lại Burp.

Cách xử lý

Không đặt proxy hệ thống trỏ về Burp. Chỉ cấu hình trình duyệt riêng đi qua Burp, tốt nhất dùng trình duyệt tích hợp của Burp. Vẽ ra giấy đường đi từ trình duyệt tới máy chủ đích, mỗi công cụ một ô, mỗi ô chỉ có một mũi tên ra. Có mũi tên quay ngược là có vòng lặp. Bài Charles proxy là gì và mitmproxy mô tả hai công cụ hay được nối với Burp.

Lỗi proxy Burp Suite do hết giờ và trang treo

Intercept đang bật

Lỗi trông giống proxy chậm nhất lại không phải do proxy. Khi Intercept trong tab Proxy đang bật, Burp giữ mọi request lại chờ anh em bấm Forward. Trình duyệt quay mãi rồi báo hết giờ. Người mới dùng hay tưởng upstream chết. Kiểm nút Intercept trước mọi thứ khác, tắt nếu không cần sửa request bằng tay.

Các mốc thời gian chờ của Burp

Mục Timeouts trong Connections chỉ có ở cấp dự án, tính bằng giây. Tài liệu ghi Connect là thời gian chờ sau khi mở kết nối trước khi kết luận máy chủ không tới được. Normal là thời gian chờ trước khi bỏ một request và ghi nhận hết giờ. Open-ended responses dùng cho phản hồi không có Content-Length hay Transfer-Encoding. Ghi số 0 hoặc để trống nghĩa là không bao giờ hết giờ.

Với upstream ở xa, như proxy ở nước khác khi kiểm thử tính năng theo vùng, thời gian bắt tay tăng đáng kể. Tăng Connect và Normal vừa đủ, không để 0, vì để 0 thì request lỗi sẽ treo mãi và che mất lỗi thật.

DNS bị nhớ lâu

Mục Timeouts còn có Domain name resolution, quy định bao lâu Burp tra lại tên miền đã tra thành công, và Failed domain name resolution cho tên miền tra lỗi. Khi kiểm thử ứng dụng mà địa chỉ IP đổi liên tục, như sau mỗi lần triển khai, Burp có thể vẫn dùng địa chỉ cũ. Đặt giá trị thấp cho trường hợp này. Khi đã bật Do DNS lookups over SOCKS proxy, việc tra tên nằm ở phía SOCKS, mục này ít ảnh hưởng.

Upstream giới hạn số kết nối

Burp mở nhiều kết nối song song, nhất là khi dùng Intruder hay khi trình duyệt tải trang nhiều tài nguyên. Proxy thương mại thường giới hạn số kết nối đồng thời mỗi tài khoản. Vượt giới hạn, upstream từ chối hoặc trả lỗi 429, 503. Trong Burp, request lỗi xen kẽ request chạy, trông như mạng chập chờn. Hỏi nhà cung cấp giới hạn và giảm số luồng của Intruder.

Quy trình kiểm lỗi proxy Burp Suite theo từng lớp

Kiểm upstream ngoài Burp

Trước khi sửa trong Burp, chạy curl tới đúng máy đích qua đúng upstream:

curl -v -x "http://user1:p%40ss%232026@proxy.example.com:8080" https://ung-dung-cua-minh.example/

Có SOCKS nằm dưới thì thêm --preproxy:

curl -v --preproxy "socks5h://user1:p%40ss%232026@socks.example.com:1080" -x "http://user1:p%40ss%232026@proxy.example.com:8080" https://ung-dung-cua-minh.example/

curl chạy mà Burp lỗi thì cấu hình Burp sai. curl cũng lỗi thì vấn đề ở proxy hoặc mạng, sửa Burp vô ích.

Thứ tự kiểm trong Burp

1. HTTP history có request không. Không có là lỗi đoạn trình duyệt tới Burp, kiểm listener và cấu hình proxy của trình duyệt.

2. Quy tắc upstream: thứ tự, dấu sao, cấp người dùng hay dự án.

3. Authentication type đúng kiểu proxy đòi, tài khoản nhập nguyên văn.

4. SOCKS có bật không, có tới được upstream không, ô DNS lookups over SOCKS.

5. Nơi cấp chứng chỉ trong Settings, Network, TLS.

6. Thời gian chờ: mục Timeouts có Connect và Normal. Upstream chậm thì tăng thời gian chờ, ghi số 0 là không bao giờ hết giờ.

Chọn upstream để giảm lỗi

Upstream cho kiểm thử nên là proxy HTTP tĩnh, cho CONNECT tới mọi cổng ứng dụng cần, độ trễ thấp. Xác thực theo IP bỏ được bước khai tài khoản. Proxy dân cư xoay IP làm phiên đăng nhập của ứng dụng thử bị đứt giữa chừng, không hợp cho kiểm thử thủ công. Bài xác thực proxy bằng IP whitelist hay user password so sánh hai cách xác thực.

Câu hỏi thường gặp về lỗi proxy Burp Suite

Burp Community có dùng được upstream proxy không. Có. Trang Connections không ghi giới hạn theo bản. Mục Upstream proxy servers và SOCKS proxy có trong bộ tài liệu đi kèm bản Community.

Vì sao trình duyệt qua Burp lỗi mà trình duyệt đi thẳng qua upstream thì chạy. Thường do tài khoản: trình duyệt tự gửi tài khoản cho upstream, còn qua Burp thì tiêu đề đó bị bỏ. Khai tài khoản trong quy tắc upstream.

Đặt cả upstream lẫn SOCKS thì đi đường nào. Đi cả hai, SOCKS trước, upstream sau, theo tài liệu. Không cần thì tắt một cái cho đơn giản.

Tiện ích BApp Store không tải được. Tiện ích tải qua kết nối của chính Burp nên đi theo upstream và SOCKS. Kiểm như phần chứng chỉ nếu đang ở mạng công ty. Trang xử lý lỗi tiện ích trong tài liệu cũng hướng dẫn cấu hình upstream trước.

Upstream đổi mật khẩu thì sửa ở đâu. Sửa trong quy tắc upstream bằng nút Edit. Nếu dự án có ghi đè cấu hình, sửa ở cấp dự án. Mật khẩu cũ còn ở một trong hai cấp là nguồn 407 hay gặp sau khi đổi mật khẩu.

Có cần proxy riêng cho Burp không. Không bắt buộc. Upstream chỉ cần khi mạng bắt buộc đi proxy, khi ứng dụng thử chỉ cho phép một số IP, hoặc khi kiểm tính năng phụ thuộc vị trí. Còn lại để Burp đi thẳng cho ít lỗi nhất.

Có dùng được proxy xoay cho Burp không. Được với các tác vụ gửi nhiều request độc lập. Với kiểm thử có đăng nhập, IP đổi làm ứng dụng đăng xuất. Dùng proxy tĩnh cho kiểm thử thủ công.

Burp có hỗ trợ upstream HTTPS, tức kết nối TLS tới chính proxy không. Tài liệu Connections không nhắc tới việc này. Mình không thử được nên không khẳng định. Proxy thương mại thông thường nhận kết nối HTTP và dùng CONNECT cho đích HTTPS, đủ cho Burp.

Khi cần upstream proxy HTTP tĩnh cho phiên kiểm thử ứng dụng của chính mình, anh em có thể mua proxy giá rẻ tại trang chủ ProxyVN rồi kiểm bằng lệnh curl ở trên trước khi khai vào Burp.

Kiểm lỗi proxy Burp theo từng lớp

Lỗi proxy Burp Suite: những điều cần nhớ

Lỗi proxy Burp Suite khi đi upstream thường do Burp bỏ tài khoản proxy của trình duyệt, thứ tự quy tắc, upstream chỉ mở 443, SOCKS nằm dưới upstream, hoặc proxy công ty giải mã HTTPS. Kiểm bằng curl trước, rồi sửa đúng lớp. Cần proxy ổn định, liên hệ Proxy.vn - Nhà cung cấp dịch vụ proxy chất lượng hàng đầu Việt Nam.