はじめに
Webアプリケーションのセキュリティを語るうえで、
Burp Suite（バープ・スイート）は避けて通れません。
開発者にとっては「通信の中身を見える化する聴診器」
セキュリティエンジニアにとっては「脆弱性を見抜くメス」
──それがBurp Suiteです。
本記事では、Burp Suiteの基本から、実際の使い方、
そして前瞻的なセキュリティ運用への応用までを紹介します。
Burp Suiteとは？
Burp Suiteは PortSwigger社 が開発する
Webアプリケーション向けの統合セキュリティテストツールです。
主な目的は、以下のような脆弱性の検出・分析・再現：
- SQL Injection
- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Server-Side Request Forgery (SSRF)
- Cookie / Session 管理不備
- 認可バイパス（IDOR など）
主なツール構成
Burp Suiteは“Suite”の名の通り、複数の強力なツールを内包しています。
| モジュール | 機能概要 |
|---|---|
| Proxy | ブラウザとWebサーバ間の通信を傍受・改ざん・記録 |
| Repeater | リクエストを手動で編集・再送信して挙動を確認 |
| Intruder | 自動化されたパラメータファズ・ブルートフォース攻撃 |
| Scanner（Pro版） | 自動脆弱性スキャン（SQLi/XSSなど） |
| Sequencer | セッショントークンの乱数性を統計分析 |
| Decoder | エンコード/デコードをサポート（Base64, URL, HTMLなど） |
| Comparer | 2つのレスポンスの差分比較（CSRF防御チェックなど） |
| Extender | 拡張機能（BApp Store / Python・Java製プラグイン） |
基本操作ステップ
1. プロキシ設定
Burpを起動し、ブラウザのプロキシを 127.0.0.1:8080 に設定。
（またはBurp専用ブラウザを使用）
これでBurpがHTTP/HTTPS通信を“中継”できるようになります。
2. 通信キャプチャ
Proxyタブ → HTTP history
ここに、すべてのリクエストとレスポンスが記録されます。
Cookieやヘッダ、パラメータの値などを確認できます。
3. Repeaterで再送信
不審なリクエストを右クリック → “Send to Repeater”。
変数を変更して再送信し、アプリの反応を観察します。
POST /login HTTP/1.1
username=admin' OR '1'='1&password=test
SQLi検証などに最適。
4. Intruderで自動化
リクエストの一部を「§」で囲み、攻撃リストを設定。
辞書攻撃、数値レンジ、カスタムパターンのファズが可能。
5. 結果分析
レスポンス長・ステータス・挙動差を比較し、
想定外の動作があれば脆弱性の可能性があります。
実戦活用シーン
| シーン | 活用例 |
|---|---|
| ログイン認証テスト | SQLi, 認証バイパス, セッション固定化 |
| 入力フォーム検証 | XSS, CSRF, Command Injection |
| API診断 | JWT署名, RESTパラメータ操作 |
| 権限チェック | IDOR (Insecure Direct Object Reference) |
| ファイルアップロード | MIME検査・拡張子偽装・LFI検出 |
開発者視点の利点
- 開発中のバックエンド通信を即座に検証
- API仕様の不整合や漏れを可視化
- UIテスト＋セキュリティチェックの統合
- Flutter / Android / iOS など、モバイル通信解析にも応用可能
ExtenderとBApp Store
Burpの強みは拡張性。
「BApp Store」から脆弱性診断補助ツールを導入できます：
- Logger++：すべての通信ログをフィルタ＋検索
- Autorize：権限昇格・認可検証自動化
- ActiveScan++：Pro版スキャンの拡張
- JSON Beautifier：JSONレスポンスの整形表示
PythonやJavaで独自プラグインを作ることも可能です。
Burp APIを使えば自動テスト環境とも連携できます。
Burp Suiteのエディション
| エディション | 概要 |
|---|---|
| Community (無料) | 手動ツール中心。個人学習・TryHackMe向け。 |
| Professional (有料) | 自動スキャン・拡張API・レポート出力。 |
| Enterprise | 大規模CI/CD統合用。企業全体での脆弱性管理向け。 |
公式リソース
- 公式サイト（PortSwigger）: https://portswigger.net/burp
- ダウンロードページ: https://portswigger.net/burp/releases
- ドキュメント: https://portswigger.net/burp/documentation
- 無料学習サイト「Web Security Academy」: https://portswigger.net/web-security
前瞻的視点：Burpの進化とAI統合
近年のBurpは「AIによる脆弱性解析」や「GraphQL・WebSocket対応」など、
モダンWebの進化に合わせてアップデートを続けています。
特に注目は：
- Burp BChecks（AIルールベース診断）
- Collaborator サーバによる Out-of-Band 攻撃検出（SSRF等）
- GraphQL introspection scan への完全対応
もはやBurpは単なるプロキシツールではなく、
セキュリティ自動化プラットフォームに進化しています。
まとめ
Burp Suite は、Webアプリ脆弱性診断の「道具箱」であり「研究所」である。
- リクエストを覗き
- 改変して試し
- 挙動を記録し
- 攻撃ベクトルを発見する
開発者にとっては「HTTPの真相を知る教科書」。
ペンテスターにとっては「最強の武器」です。