【初心者向け】Burp Suiteの基本操作をマスターしよう！【Repeater編】

こんにちは！
前回に引き続き、今回はBurp Suiteの便利機能
Repeater（リピーター）
について解説していきます！

Repeaterを使いこなすと、好きなだけリクエストを試行錯誤できるので、
手動テストがぐっとやりやすくなりますよ！

Repeater（リピーター）とは？

Repeaterは、
リクエストを何度でも手動で送信し直せる機能です。

1回止めたリクエストを、

• 内容をちょっとずつ変えながら
• 何度も何度も試しながら
  送れるので、
  脆弱性検査や動作検証に超便利です！

基本的な使い方

1. 送信したいリクエストをRepeaterに送る

まず、ProxyのHTTP Historyなどで
気になるリクエストを右クリックして
「Send to Repeater」 を選びます。

これでRepeaterタブにコピーされます！

2. リクエストを編集する

Repeaterタブを開くと、
リクエストの中身（ヘッダー、パラメータ、ボディなど）が編集できる状態になっています。

• URL
• メソッド（GET/POSTなど）
• ヘッダ（Cookie, User-Agentなど）
• ボディ（POSTデータ）

これらを自由に書き換えることができます。

たとえば：

• id=1 を id=2 に変えてみる
• admin=true を無理やり付け足してみる
• SQLインジェクションを試すために、パラメータに ' OR 1=1 -- を入れてみる

など、思いつく限りの攻撃テストが可能です。

3. 送信してレスポンスを見る

編集が終わったら、右上の「Send」ボタンをクリック！

すると、リクエストがサーバに送信され、
すぐ下の画面にレスポンス（サーバの応答）が表示されます。

レスポンスには、

• ステータスコード（200 OK、404 Not Foundなど）
• サーバから返されたHTMLやJSONデータ
• エラーメッセージや内部情報
  などが含まれます。

この内容をもとに、アプリケーションがどんな動きをしたのかを分析します。

また、上の矢印で自分が送ったリクエストとそれに対応するレスポンスの履歴を遡って確認することができます。

矢印の横にあるドロップダウンメニューからは一覧を守ることができ特定リクエストにジャンプ可能です。

Repeaterを使うとできること

パラメータを変えてSQLインジェクションのテスト
セッション情報を書き換えて権限昇格テスト
リクエストヘッダをいじってバイパス攻撃を試す
特定の入力に対してサーバのエラー反応を調べる

など、
一つ一つ手作業でじっくり攻めたいときに最強です。

ちょっとしたTIPS

• リクエストを少しずつ変えながら、レスポンスの差分を見比べると攻撃ポイントを見つけやすい！
• 同じリクエストを複製（Duplicate）して、複数パターンを並列で比較するのもオススメ！

Repeaterの活用例

Repeaterを使えば、こんなテストが簡単にできます：

• パラメータ改ざんテスト
  → 価格変更、ユーザーID変更などが可能かチェック
• 認証バイパステスト
  → セッションCookieをいじってアクセスできるか試す
• SQLインジェクションテスト
  → 入力値に特殊文字を混ぜて脆弱性を探る
• ロジックバグ検証
  → 本来想定していない操作を手動で試してみる

Repeaterは「自動化しない手動攻撃」に超向いています。
だから、ターゲットに合わせた柔軟なアプローチができるんです！

さらに便利なテクニック

リクエストの複製（Duplicate）

Repeater内でリクエストを右クリックして「Duplicate」すると、
同じリクエストを別タブにコピーできます。

これを使えば、

• パターン違いのリクエストを並べて比較
• 効率的に違いを検証
  ができて超便利！

差分比較（Compare）

Burpには、2つのレスポンスの違いを見比べる機能（Diff）もあります。
小さな違いから、サーバの挙動の変化を見抜くことができます！

まとめ

• Repeaterは、リクエストを好きなだけ編集・再送信できる機能！
• Webアプリの動作や脆弱性を手動でじっくり検証できる。
• パラメータ改ざん・セッションバイパス・SQLiチェックなど幅広く使える。
• 複製機能や差分比較を使うとさらに効率的！