Запустить Burp AT сейчас Узнать больше о Burp AT
С момента запуска Burp AT на конференции Black Hat USA было здорово наблюдать, как вы внедряете его в свои рабочие процессы. Мы также получили множество отзывов, поэтому спасибо всем, кто уделил время и рассказал о том, что им понравилось и, что еще важнее, что мы можем улучшить.
Мы учли эти отзывы при разработке продукта, выпустив новые и улучшенные функции, которые дают вам больше возможностей влиять на работу Burp AT, больший контроль во время его выполнения и больше способов предоставить ему необходимый контекст. И в разработке уже находится еще много интересного.
На случай, если вы это пропустили, вот подборка основных моментов.
Обучайте Burp AT собственной методологии
Кастомизация всегда была ключевым элементом Burp Suite, и теперь вы можете добавлять свои собственные навыки в Burp AT в дополнение к тем, которые разработаны специалистами PortSwigger Research. Это означает, что вы можете точно указать Burp AT, как подходить к определенному типу задач, и обеспечить более последовательное выполнение.
Если вы замечаете, что повторяете одни и те же шаги, превратите этот процесс в навык один раз, и Burp AT сможет следовать ему при каждом тестировании.
В долгосрочной перспективе это позволяет вам постепенно документировать собственную методологию и обучать Burp AT следовать ей.
Вызывайте навыки напрямую с помощью слеш-команд
Введите символ / в поле ввода Burp AT, чтобы выбрать нужный навык из всех доступных.
Хотя Burp AT может самостоятельно принимать решение о том, когда использовать навык, слеш-команды дают вам свободу выбора, обеспечивая именно тот подход, который вам нужен. Это особенно полезно по мере того, как ваша библиотека доступных навыков увеличивается.
Установите цель с помощью команды /goal и предоставьте Burp AT действовать самостоятельно
С помощью новой команды /goal вы можете задать желаемую задачу для выполнения. Агент продолжает неуклонно двигаться к этой цели в течение нескольких шагов. Он продолжает работу до тех пор, пока не достигнет цели, не решит, что это невозможно, или не достигнет установленного лимита, и вам не нужно давать ему подсказки для продолжения на каждом этапе.
Это особенно полезно при попытках эксплуатации уязвимостей. Помните те моменты, когда вы чувствуете, что напали на след, но не можете понять, как обойти WAF или другие средства защиты? Вместо того чтобы биться головой о стену, вручную перебирая каждую вариацию пейлоуда или метод обфускации, которые приходят вам на ум, вы можете использовать команду /goal, чтобы поручить Burp AT доказать эксплуатируемость вашей догадки, а затем позволить ему довести дело до конца.
Упрощайте процесс одобрения и перенаправляйте агентов
Burp AT создан для того, чтобы вы могли делегировать задачи агентам, сохраняя при этом полный контроль над ситуацией. Учитывая это, когда Burp AT просит вас одобрить вызов инструмента, вы теперь можете отклонить его и указать, что делать вместо этого. Это означает, что вы можете перенаправлять агентов, чтобы они не отклонялись от вашего текущего видения.
Теперь вы также можете одобрить определенное действие на все оставшееся время выполнения задачи. Это означает меньше прерываний, когда Burp AT нужно выполнять одно и то же действие многократно, причем вы сами решаете, каким инструментам предоставляется такая свобода.
Передавайте расследования с необходимым агентам контекстом
Теперь существует несколько способов предоставления дополнительного контекста для задачи.
Вы можете отправлять запросы в Burp AT из любого места в Burp, что упрощает переход от ручной работы к передаче расследования агентам. Аналогичным образом, вы можете отправлять проблемы из файла проекта прямо в Burp AT для последующего анализа.
Наконец, вы можете загружать к задаче документы, такие как документ с описанием области действия (scoping document), предыдущие отчеты или спецификацию API.
Ставьте следующий запрос в очередь, пока Burp AT работает
Вам больше не нужно ждать, пока Burp AT завершит работу, чтобы дать ему следующую инструкцию. Отправьте запрос во время выполнения задачи, и он встанет в очередь. Запросы из очереди выполняются по одному, в порядке поступления, после завершения текущей работы. Это означает, что вы можете не прерывать ход своих мыслей, вместо того чтобы удерживать следующую идею в уме, пока Burp AT не освободится.
Попробуйте сами
Уже используете Burp AT? Ознакомьтесь с последними улучшениями и расскажите нам о своих впечатлениях. Ваши отзывы помогают нам определять направление дальнейшей разработки.
Если вы еще не пробовали его, все пользователи Burp Suite Professional получают бесплатный ежемесячный лимит использования, так что попробуйте его сегодня.
Запустить Burp AT сейчас
Узнать больше о Burp AT
Анджей Матыкевич
