Burp Suite

Lorsqu'elle est utilisée comme un serveur proxy, la suite Burp permet à l'utilisateur de manipuler le trafic qui passe au travers de celui-ci i.e. entre le navigateur web et le serveur. Cette disposition est communément appelée attaque de l'homme du milieu (Man In The Middle, en anglais). L'application utilise une interface permettant aisément la manipulation des données échangées dans les deux sens. Grâce à cette fonctionnalité, il est possible d'injecter des données non-conformes dans l'objectif de provoquer un comportement anormal de l'application et donc d'en identifier les bugs et vulnérabilités associées.

Le robot d'indexation permet d'initier des connexions avec l'application web, d’examiner les cookies et d'en parcourir les pages afin d'identifier sa structure interne.

L’outil d'intrusion permet d'automatiser des attaques paramétrées sur l'application web. Le testeur d'intrusion doit avoir une connaissance détaillée du fonctionnement de l'application et du protocole HTTP pour permettre l'attaque avec succès. L'outil offre la possibilité de créer des requêtes HTTP nuisible pour l'application. Il peut également aider à la détection des injections SQL, à l'exploitation de vulnérabilités de type cross-site scripting, permettre la manipulation des paramètres HTTP ainsi que des attaques par recherche exhaustive.

Le répéteur est un outil simple permettant de renvoyer des requêtes HTTP selon un paramétrage défini afin d'observer le comportement de l'application web et en identifier les vulnérabilités.

Le séquenceur est un outil destiné à l'analyse du degré d'aléatoire des jetons de session émit par l'application mais également des nonces cryptographiques et autres éléments aux valeurs normalement imprédictibles.

• Test d'intrusion
• Scanneur de vulnérabilité
  • Nessus
  • OpenVAS
  • Nikto (scanner de vulnérabilité)
  • OWASP ZAP

• Burp Suite