Corso Hacking Etico #6: Web Hacking con Burp Suite

Burp Suite: Lo Standard del Web Hacking

Burp Suite e lo strumento standard per il web application security testing. La versione Community e gratuita e sufficiente per imparare.

Setup

# Scarica da portswigger.net/burp/communitydownload
# Firefox proxy: 127.0.0.1:8080
# Installa certificato CA: naviga su http://burp

Intercettare Richieste

# Proxy - Intercept - ON
# Naviga sul target
# Modifica parametri poi Forward

Il Repeater

# Ctrl+R per inviare al Repeater
# Test ripetuti senza il browser
# Usa per: SQLi, XSS, fuzzing, auth bypass

Cosa Cercare

• Parametri numerici (id=123) - potenziale IDOR
• Input nella risposta - potenziale XSS
• Query nell'URL - potenziale SQLi
• Endpoint nascosti nel JavaScript

DVWA per Praticare

docker run -d -p 80:80 vulnerables/web-dvwa
# Login: admin / password
# Security Level: Low per iniziare

Conclusione

Nel Modulo 7: SQL Injection dalla teoria all'exploitation.