Mobil Cihazlarda Sızma Testi – Burp Suite

Mobil uygulama güvenlik testlerinde en önemli konulardan birisi, uygulamanın sunucularla kurduğu bağlantılarda araya girme konusudur. Araya girmek için Proxy aracı olarak Burp Suite Free uygulamasını kullanabiliriz. Sanal cihazımızdaki trafiği santoku sanal makinemizdeki Burp Suite’in çalıştığı porttan geçirebiliriz.

Mobil uygulama bağlantılarını host makine üzerinden geçirmek ve yakalamak için sanal cihazımızda Settings > Wi-Fi bölümüne girip WiredSSID üzerine basılı tuttuğumuz zaman çıkan seçeneklerden ‘Modify network’ tıklayalım ve Proxy ayarlarını değiştirelim. Burada IP olarak santoku sanal makinesinin IP adresini gireceğiz. Port olarak tercihe bağlı olmakla beraber Burp’un ön tanımlı portu olan 8080 yazabiliriz.
Screenshot_6

Burp Suite’te proxy eklemek için Burp Suite’i açıp Proxy > Options > Binding yolu izlenerek ayarlar açılıp Bind to port için sanal cihazımızda girdiğimiz port ve Bind to adrress için ‘Specific address’  seçeneğini seçip IP olarak sanal cihazımızda girdiğimiz host IP’si girilmektedir.

Screenshot_7

HTTPS bağlantılarında araya girmek için Burp Suite’in sertifikasının da indirilmesi gerekir. Cihazımızın browserından htttp://burp adresine gidip CA Certificate tıklayarak sertifikayı indirelim.Screenshot_1

İndirdiğimiz sertifikanın bulunduğu dosyayı açıp üzerine tıklayalım ve kurulumunu gerçekleştirelim.

Screenshot_3

Örnek olarak Twitter açıp deneme yapalım. Burp Suite de Proxy > Intercept bölümünde Intercept is off butonuna basarak SSL trafiğini kesmek mümkün olacaktır.
Screenshot_17

Giriş yaptığımızda Burp Suite ile araya girilerek bilgilerin görüntülendiğini göreceğiz.

Screenshot_19

Burp Suite ile sunucudan gelen yanıtlar veya uygulamanın sunucuya gönderdiği istekler üzerinde değişiklikler yapabiliriz.

724 total views, 2 views today

One thought on “Mobil Cihazlarda Sızma Testi – Burp Suite

Bir Cevap Yazın

E-posta hesabınız yayımlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir