Тестируй как хакер. Подменяем Http трафик с помощью Burp Suite

[@EugeneOkulik]

Мой курс по автоматизации тестирования: okulik.by/ Приходите - научу вас программированию на Python и автоматизации.

[@Никита-щ7ю6э]

Спасибо большое. Не получалось подменить ответ от сервера в берпе. Посмотрев ваше видео все получилось

[@teachmeskills]

Женя - красавец! Классный ролик)

[@runaruni898]

bravo

[@feste001]

Получается, эту картинку(которая заменила tesla model 3) увижу только я на своем локальном компе?

[@EugeneOkulik]

Да, именно так. Если бы можно было менять на чужом, все бы давно были захвачены хакерами))

[@rpman_lyzhin]

Представим ситуацию. Я сисадмин у меня есть сеть могу ли я с помощью Burpsuite подменять трафик всем пользователям?

[@EugeneOkulik]

Неа. То, что вы описываете, называется атакой man in the middle. Можете плгуглить

[@Backnibbler]

Так получается эту подмененную картинку никто кроме тебя и не видит?

[@EugeneOkulik]

Ну, если не демонстрируешь никому свой экран, то да. Если бы я показывал как подменять ответ сервера для других пользователей, то это бы я обучал тому, как совершать атаки. Если интересно самостоятельно почитать как это делается, то можете погуглить атаку "man in the middle"

[@stas7che]

а charles proxy получается аналог Burp Suite? Как они в сравнении?

[@EugeneOkulik]

Чарльз платный. Поэтому, когда нужно, я использую burp suite. Было бы нужно часто, выбивал бы лицензию на чарльз

[@stas7che]

@@EugeneOkulik а функционал Burp Suite покрывает функционал Чарлза? Или все таки у Чарлза остались киллер фичи

[@EugeneOkulik]

Платный burp suite покрывает, бесплатный нет. Но платный burp suite стоит намного дороже чарльза

[@EugeneOkulik]

Основная фишка burp suite делать атаки. Такого чарльз не умеет

[@stas7che]

@@EugeneOkulik спасибо!

[@InverserPro]

Не понятно, при чём тут тестирование и хакеры. Вообще не понятно... 😮 Программа, на сколько удалось понять, просто заменяет ответ при определённых обращениях к сети. Смысл тестировать, как хакер, если ты заранее вводишь в запрос результат ответа. Что из этого хакерского и тестировочного?

[@EugeneOkulik]

Это позволяет протестировать ответы сервера, которые от него трудно получить Для это цели ещё используют Charles Proxy или фидлер. Если вы не знаете для чего используются снифферы, то вам точно ещё нужно подкачаться в тестировании

[@InverserPro]

@@EugeneOkulik так Вы сами пишите какой ответ должен выдать вам «сервер», потом Вы смотрите в браузер и говорите: «Надо же, здесь ошибка 500». Вы не понимаете, что это не «сервер» Вам отвечает, а программа отдаёт то, что Вы от неё хотите получить. Ещё раз: Вы заранее знаете ответ, который придёт, так как сами «просите» его прислать. По Вашей же логике, Вы заставляете сервер «Tesla» отвечать Вам так, как Вы хотите. Но это не так. Это просто подмена ответа сервера, но не реальный ответ сервера. Возможно, при этом можно тестировать, как поведёт себя frontend, но никак не сервер. Соответственно, эта программа не имеет ничего общего ни с хакингом, ни с тестированием. Так как так тестировать приложение никто не будет, имея доступ непосредственно к коду проекта.

[@aleksoff78]

Фиг ли ))) во встроенном браузере не подменить)) Тогда бы уж показывал, как импортировать CA в целевой 😉 браузер! Все легко и главное 🤣 прикольней же!!!))

[@EugeneOkulik]

Большинство кейсов это закрывает, а информация про сертификаты и прокси была бы лишней здесь и в итоге мало что было бы понятно.