Burp Suiteとは？

Burp Suiteは、イギリスのPortSwigger社が開発・提供する
Webアプリケーションセキュリティテストツールです。

主に、ブラウザとWebサーバー間の通信を傍受・解析・改変することで、
アプリケーションの脆弱性を手動・自動で検出することができます。

セキュリティエンジニア、ペネトレーションテスター（侵入テスト担当者）、Web開発者などに広く利用されており、事実上の業界標準ツールとなっています。

主な機能

Burp Suiteには、セキュリティ診断を支援するさまざまな機能が搭載されています。
代表的な機能を以下にまとめます。

機能名	概要
Proxy	ブラウザとサーバー間の通信を中継・記録・改ざんできる基本機能
Intruder	特定のリクエストに対して、大量のリクエストを送信し、自動化された検証（例：パスワード総当たり攻撃）を行う
Repeater	任意のリクエストを手動で再送信し、細かく内容を調整しながら挙動を確認できる
Scanner（Professional版）	自動的に脆弱性を検出するスキャナ機能（SQLi、XSS、CSRFなど）
Decoder	エンコード・デコード作業をサポート（Base64、URLエンコードなど）
Comparer	リクエストやレスポンスの差分比較を行う
Extender	プラグイン（BApp）を追加し、機能を拡張できる

主な利用シーン

Burp Suiteは、以下のようなさまざまなシーンで活用されます。

Webアプリケーションの脆弱性診断
- クロスサイトスクリプティング（XSS）、SQLインジェクション（SQLi）、セッション管理の脆弱性などを検出
APIセキュリティテスト
- REST APIやGraphQLなど、APIエンドポイントへのリクエスト・レスポンスを検証
ペネトレーションテスト
- 実際に攻撃を模倣し、セキュリティリスクを評価
開発時のセキュリティ確認
- フロントエンド・バックエンド間の通信内容を検証し、不正リクエストへの耐性を確認

セットアップ

下記サイトからBurp Suiteをインストールします。

Community Edition(無料版)

Professional(有料版)

無料版と有料版があります。

有料版では無料版の機能に加えて、作業内容を保存できたりScan機能で自動で脆弱性を診断できたりする(詳しくは以下の画像)

起動すると、最初から「Temporary project」が選択されているため右下の「Next」をクリック

デフォルトの設定を使用するので「Use Burp defaults」を選択し右下の「Start Burp」をクリック

「Proxy」タブの「Option」タブの「Proxy Listeners」の一行目をクリックし「Edit」

「Bind to port」のポート番号を確認、デフォルトでは8080が設定されています（競合している場合には他のポートを設定する）

※リクエストだけでなくレスポンスも書き換える必要がある場合には、同じく「Proxy」タブの「Option」タブ内にあります。「Intercept Server Responses」の「Intercept responses based on the following rules」のチェックボックスにチェックを入れる(必要になった時に設定すれば良い)

あとは以下に記載のプロキシの通し方でプロキシの設定をすればセットアップ完了です。