その前提で設定とか。
burp suite は javaアプリなので実行環境としてJavaをインスコしときます。
java -jar burpsuite.jar とかでプロキシを起動します。
次に、ブラウザ（Chrome）でプロキシ設定をします。
WindowsならIEのインターネットオプションみたいなのがでるのでLANの設定から localhost 8080 に。
もちろん、プロキシのオプションタブでポートとかいじってるのであればそれを指定。
Macなら環境設定のネットワークが表示されるのでプロキシタブでWebプロキシ（HTTP) と 保護されたWebプロキシ（HTTPS)を選択。
localhost:8080 とか 127.0.0.1:8080 とかを入力。
これで準備OK、なんですが、最近のブラウザは証明書のホストと通信先ホストが違うのをちゃんと知らせてくれるのですが、今回ばかりはこれが邪魔なので無視する設定にしたい。
http://chrome.half-moon.org/43.html#qd1d616c
Chromの起動オプションに --ignore-certificate-errors を追加して起動。
SSLセキュリティ証明書のチェックもろもろを無視するので危ないオプションです。
本当に必要なときだけに限定して使います。
※もしこのオプションがない場合、一度HTTPSなページを踏んでブラウザで信用する、みたいにすればOKです。ただ、Facebookとかは画像などのリソースをCDNかなんかで提供してるっぽくて、ホストが違うのでChromeのDeveloperToolのNetworkなどで赤色のエラーのものをクリックしていっこいっこ承認していかないといけないです。Twitterは戻るボタンだけで信用する的なボタンもなかったです。
http://isann0330.tumblr.com/post/29100326054/google-chrome
http://isann0330.tumblr.com/post/29099902605/q-a-okwave
http://isann0330.tumblr.com/post/29099837506/chrome
●mac
open -a Google\ Chrome --args --allow-file-access-from-files
●windows
call "chrome.exe" --args --allow-file-access-from-files
みたいなかんじで。
●javaコマンド
java -jar -Dfile.encoding=UTF-8 burpsuite_v1.4.01.jar
一応、文字コードしていしとく。なくてもいけるっぽいけど。
仕組み
おもしろいよ。
おわり。
0 件のコメント:
コメントを投稿