Burp Suite Japan LT Carnivalに行ってきました！

2019/03/12に日本橋で行われた「Burp Suite Japan LT Carnival」に参加してきました。

その内容について記事にしていきます。

なお、メモなどの内容については認識に相違がある部分があるかもしれませんので、その際はご指摘いただければ修正いたします。

今回は全ての個所はメモしておらず、気になった内容を載せていきます。

個人的には学生の発表者もいましたのでバグハンターが多いなぁと感じました。

岩間湧さん　Burp Suite 2.0betaを触ってみた(仮)
2.0系は結構バグはある
1.x系で発見できたものが見つからない可能性ある
2018年は週1ペース
2019年は隔週ペースでアップデートがある

＜クローラー機能＞
Spiderとscan⇒CrawlとAuditと呼ぶ

サイト方法の識別方法が変わった
コンテンツに基づいてやるようになった。

リンクURLが毎回変わる場合でも正確にマッピングできるようになった

クロールで観測された
リンク経由もしくは開始地点からのアクセスをしている。（リファラもついている）

CSRFトークンを追従する必要がある場合は自動でやってくれる

＜スキャンエンジン＞
並行スキャン
1.x系は同時にすく数のスキャンができなかった
2.0系は複数の並行スキャンをサポートできるようになった

スキャンフェーズ
各フェーズの進捗が段階毎にわかるようになった

＜Javascriptの動的解析＞
2.0では劇的にDOMベースの脆弱性検出がよくなった。
2.0から組み込みのヘッドレスブラウザを使用
そこでjavascriptを動的に解析している

検出時のソースとシンクも教えてくれる

初歩的DOMXSSの場合はPoCを用意してくれる場合もある

＜RESTAPI＞
現在はスキャンの開始と結果の取得のみ
今後アップデートしていく。

＜新しいレンダリング機能＞
しっかり表示してくれる！⇒かなり便利そう
スクロール操作やキーボード操作はレンダリングからはできなかった

ちょいちょいバグはある
落ちてたりする。
既存のログファイルを開いたら落ちる

ヘッドレスブラウザの影響で、プロセスが大量に常駐してしまう

所感
burpの2.0についてはまだ触っていなかったので、とても参考になりました。

こっちの検証もしていかなきゃなと反省。私は1.7系ばかり使用しています。

こういった情報を聞くと物凄い触りたくなるので、とてもよかった。

バグは多いが、DOMのXSSの検出が非常に高いのは気になる。

また、レンダリング機能が優秀そうなのでそれはかなりいいと思います。

今回の発表でこの内容を聞けただけでも非常に良かった！

主催の方のお誘いで、飲みに行くことに。

色々な話を聞けたのと、久々に会えた方も多くいたので非常にいい刺激になった。

そもそも監査系のイベントより若い人が多いので、多少若返った気がしました。
※監査系のイベントは年齢層が高いので、私は若者扱い・・・

そして、発表内容の複数でバグバウンティの話があり興味が出たので、早速やってきました！

アカウントを作りました！（とても影響を受けやすい性格です・・・）

それで早速今日からバグハンターとしてやっていました。

良い結果が出たら報告していきますね。（あまり期待せずにでお願いします）

非常に楽しい勉強会でした。（私がバグバウンティとして登録したことも含め）

また、最近の若い方の色々な熱意を受けるとこちらも頑張らねばと感じることができるので、そういった点でも行って良かったです。

Burp Suite Japanでは運営メンバーも募集しているようなので、興味がある方は参加してみてはいかがでしょうか？

面白い方も多いのできっと良い経験ができると思います。

3月は有給期間があるので、バグハントがどれくらいできるか試してみます。（自身はありません・・・）

以下の記事とか、とても夢があっていいと思います！

不明点や要望やこういったこともやって欲しいとの要望があれば、お問い合わせページやコメント、ツイッターからでも結構ですので、気軽にご連絡ください。