Webアプリケーションのセキュリティを語るうえで、
Burp Suite（バープ・スイート）は避けて通れません。

開発者にとっては「通信の中身を見える化する聴診器」
セキュリティエンジニアにとっては「脆弱性を見抜くメス」
──それがBurp Suiteです。

本記事では、Burp Suiteの基本から、実際の使い方、
そして前瞻的なセキュリティ運用への応用までを紹介します。

Burp Suiteは PortSwigger社 が開発する
Webアプリケーション向けの統合セキュリティテストツールです。

主な目的は、以下のような脆弱性の検出・分析・再現：

Burp Suiteは“Suite”の名の通り、複数の強力なツールを内包しています。

モジュール	機能概要
Proxy	ブラウザとWebサーバ間の通信を傍受・改ざん・記録
Repeater	リクエストを手動で編集・再送信して挙動を確認
Intruder	自動化されたパラメータファズ・ブルートフォース攻撃
Scanner（Pro版）	自動脆弱性スキャン（SQLi/XSSなど）
Sequencer	セッショントークンの乱数性を統計分析
Decoder	エンコード/デコードをサポート（Base64, URL, HTMLなど）
Comparer	2つのレスポンスの差分比較（CSRF防御チェックなど）
Extender	拡張機能（BApp Store / Python・Java製プラグイン）

Burpを起動し、ブラウザのプロキシを 127.0.0.1:8080 に設定。
（またはBurp専用ブラウザを使用）

これでBurpがHTTP/HTTPS通信を“中継”できるようになります。

Proxyタブ → HTTP history
ここに、すべてのリクエストとレスポンスが記録されます。
Cookieやヘッダ、パラメータの値などを確認できます。

不審なリクエストを右クリック → “Send to Repeater”。
変数を変更して再送信し、アプリの反応を観察します。

POST /login HTTP/1.1
username=admin' OR '1'='1&password=test

SQLi検証などに最適。

リクエストの一部を「§」で囲み、攻撃リストを設定。
辞書攻撃、数値レンジ、カスタムパターンのファズが可能。

レスポンス長・ステータス・挙動差を比較し、
想定外の動作があれば脆弱性の可能性があります。

シーン	活用例
ログイン認証テスト	SQLi, 認証バイパス, セッション固定化
入力フォーム検証	XSS, CSRF, Command Injection
API診断	JWT署名, RESTパラメータ操作
権限チェック	IDOR (Insecure Direct Object Reference)
ファイルアップロード	MIME検査・拡張子偽装・LFI検出

Burpの強みは拡張性。
「BApp Store」から脆弱性診断補助ツールを導入できます：

PythonやJavaで独自プラグインを作ることも可能です。
Burp APIを使えば自動テスト環境とも連携できます。

近年のBurpは「AIによる脆弱性解析」や「GraphQL・WebSocket対応」など、
モダンWebの進化に合わせてアップデートを続けています。

特に注目は：

もはやBurpは単なるプロキシツールではなく、
セキュリティ自動化プラットフォームに進化しています。

Burp Suite は、Webアプリ脆弱性診断の「道具箱」であり「研究所」である。

開発者にとっては「HTTPの真相を知る教科書」。
ペンテスターにとっては「最強の武器」です。