Burp Suite als Proxy: Grundlagen des Penetrationstests von Webanwendungen

```html

Burp Suite ist der de facto Standard im Arsenal eines jeden Sicherheitsspezialisten für Webanwendungen. Sein Proxy-Modul ermöglicht es, HTTP/HTTPS-Verkehr zwischen dem Browser und dem Server in Echtzeit abzufangen, zu analysieren und zu modifizieren. In diesem Leitfaden werden wir erläutern, wie man Burp Suite als Proxy einrichtet, welche Module für grundlegende Pentests verwendet werden und wie man typische Anfängerfehler vermeidet.

Was ist Burp Suite und wofür braucht man es als Pentester

Burp Suite ist eine integrierte Plattform zur Sicherheitsüberprüfung von Webanwendungen, die von PortSwigger entwickelt wurde. Das Tool gibt es in drei Editionen: Community (kostenlos), Professional und Enterprise. Für die meisten Aufgaben auf Anfänger- und mittlerem Niveau reicht die Community-Version aus, obwohl die Professional-Version Zugang zu einem aktiven Schwachstellenscanner und erweiterten Funktionen von Intruder bietet.

Die Hauptrolle von Burp Suite im Pentest ist die eines Man-in-the-Middle-Proxys. Das Tool steht zwischen Ihrem Browser und der Ziel-Webanwendung und fängt den gesamten HTTP/HTTPS-Verkehr ab. Dies ermöglicht:

„Rohdaten“ von Anfragen und Antworten zu sehen, die der Browser vor dem Benutzer verbirgt
Anfrageparameter in Echtzeit zu modifizieren – Header, den Body von POST-Anfragen, Cookies zu ändern
Anfragen mit geänderten Daten ohne Neuladen der Seite zu wiederholen
Automatisch Parameterwerte zu durchlaufen, um Schwachstellen zu finden
Eine vollständige Karte der Webanwendung zu erstellen (Spider/Crawler)
Schwachstellen wie SQLi, XSS, IDOR, SSRF und viele andere zu finden

Burp Suite wird sowohl von professionellen Pentestern in kommerziellen Projekten als auch von Teilnehmern an Bug-Bounty-Programmen (HackerOne, Bugcrowd) verwendet. Es ist das erste Tool, das auf einem Arbeitsgerät installiert wird, wenn man eine Karriere im Bereich Application Security beginnt.

⚠️ Wichtig:

Verwenden Sie Burp Suite nur zum Testen von Anwendungen, für die Sie eine schriftliche Genehmigung des Eigentümers haben, oder für Übungsumgebungen (DVWA, WebGoat, HackTheBox, TryHackMe). Unbefugtes Testen ist strafbar.

Wie funktioniert der Proxy-Abfang in Burp Suite

Wenn Sie Burp Suite starten und das Proxy-Modul aktivieren, wird auf Ihrem Computer ein lokaler Proxy-Server gestartet. Standardmäßig hört er auf der Adresse 127.0.0.1:8080. Der Browser wird so konfiguriert, dass er diese Adresse als HTTP/HTTPS-Proxy verwendet.

Das Schema sieht folgendermaßen aus:

Browser
   │
   │  HTTP/HTTPS Anfrage
   ▼
Burp Suite Proxy (127.0.0.1:8080)
   │
   │  ← Hier fängt Burp ab, zeigt an, erlaubt Änderungen
   │
   ▼
Ziel-Webserver (example.com)
   │
   │  HTTP/HTTPS Antwort
   ▼
Burp Suite Proxy
   │
   │  ← Hier fängt Burp die Serverantwort ab
   │
   ▼
Browser (erhält die Antwort)

Für HTTPS-Verkehr generiert Burp Suite eigene TLS-Zertifikate für jede Domain in Echtzeit. Damit der Browser keine Warnungen über unsichere Verbindungen anzeigt, muss das Root-CA-Zertifikat von Burp in die vertrauenswürdigen Zertifizierungsstellen des Browsers oder des Betriebssystems installiert werden. Nur so kann der HTTPS-Verkehr entschlüsselt werden – ohne diesen Schritt sehen Sie nur verschlüsselte Daten.

Der Intercept-Modus kann ein- oder ausgeschaltet werden. Wenn Intercept aktiviert ist, wird jede Anfrage in Burp „eingefroren“ und wartet auf Ihre Entscheidung: so lassen, ändern oder zurücksetzen. Wenn er deaktiviert ist, lässt Burp den Verkehr transparent durch, protokolliert ihn aber weiterhin im HTTP-Verlauf.

Browser einrichten und CA-Zertifikat installieren

Dies ist der wichtigste Schritt, um mit der Arbeit zu beginnen. Lassen Sie uns zwei Optionen betrachten: die Verwendung des integrierten Browsers von Burp und die manuelle Konfiguration von Chrome/Firefox.

Option 1: Integrierter Browser von Burp Suite (empfohlen für Anfänger)

Seit Version 2021.x wird Burp Suite mit einem integrierten Chromium-Browser geliefert, der bereits für die Arbeit mit dem Proxy vorkonfiguriert ist und das CA-Zertifikat enthält. Dies ist der schnellste Weg, um zu beginnen:

Öffnen Sie Burp Suite → gehen Sie zu Proxy
Klicken Sie auf die Schaltfläche Open Browser
Ein Chromium-Browser öffnet sich, der bereits auf den Burp-Proxy konfiguriert ist
Gehen Sie zur gewünschten Website – der Verkehr wird sofort abgefangen

Option 2: Manuelle Konfiguration von Firefox

Firefox ist für die manuelle Konfiguration bevorzugt, da er ein eigenes Zertifikatspeicher hat (unabhängig vom System):

Schritt 1. Proxy in Firefox einrichten:

Öffnen Sie Firefox → Einstellungen → Proxy-Server (oder verwenden Sie die Erweiterung FoxyProxy)
Wählen Sie „Manuelle Proxy-Konfiguration“
HTTP-Proxy: 127.0.0.1, Port: 8080
Aktivieren Sie das Kontrollkästchen „Diesen Proxy für HTTPS verwenden“
Klicken Sie auf OK

Schritt 2. CA-Zertifikat von Burp installieren:

Stellen Sie sicher, dass Burp Suite läuft und der Proxy aktiv ist
Gehen Sie im Browser zu: http://burpsuite oder http://127.0.0.1:8080
Klicken Sie auf „CA-Zertifikat“ – eine Datei cacert.der wird heruntergeladen
In Firefox: Einstellungen → Datenschutz & Sicherheit → Zertifikate → Zertifikate anzeigen
Registerkarte „Zertifizierungsstellen“ → Importieren → wählen Sie die heruntergeladene Datei aus
Aktivieren Sie das Kontrollkästchen „Diesen CA für die Identifizierung von Websites vertrauen“
Klicken Sie auf OK

Nach diesen Schritten wird Firefox den von Burp generierten Zertifikaten für HTTPS-Websites vertrauen, und Sie können verschlüsselten Verkehr ohne Warnungen abfangen.

HTTP/HTTPS-Verkehr abfangen und analysieren

Nach der Konfiguration des Browsers können Sie mit der Arbeit am Verkehr beginnen. Lassen Sie uns die grundlegenden Funktionen der Proxy-Registerkarte in Burp Suite untersuchen.

HTTP-Verlauf – Protokoll aller Anfragen

Die Registerkarte HTTP-Verlauf (Proxy → HTTP-Verlauf) ist ein Protokoll aller Anfragen, die durch Burp gegangen sind. Hier sehen Sie:

Methoden der Anfrage (GET, POST, PUT, DELETE usw.)
URL und Parameter
HTTP-Header (einschließlich Cookie, Authorization, User-Agent)
Body der Anfrage (für POST/PUT)
Antwortcode des Servers (200, 302, 403, 500...)
Größe und Zeit der Antwort

Mit der rechten Maustaste auf eine beliebige Anfrage → Sie erhalten ein Kontextmenü mit Optionen: an Repeater, Intruder, Scanner, Decoder und andere Module senden. Dies ist der Hauptarbeitsablauf in Burp.

Intercept – aktiver Abfangmodus

Aktivieren Sie Intercept (Taste „Intercept is on/off“) – und die nächste Anfrage aus dem Browser wird in Burp „eingefroren“. Sie sehen den Inhalt und können:

Forward – die Anfrage unverändert durchlassen
Drop – die Anfrage zurücksetzen (der Server erhält sie nicht)
Daten manuell ändern – jedes Feld bearbeiten und auf Forward klicken
Action → Send to Repeater – an Repeater zur weiteren Analyse senden

Praktisches Beispiel: Sie fangen eine POST-Anfrage des Anmeldeformulars ab. Im Body der Anfrage sehen Sie die Parameter username=admin&password=12345. Sie können die Werte direkt in Burp ändern und auf Forward klicken – der Server erhält bereits die geänderten Daten.

Wichtige Module: Repeater, Intruder, Scanner

Burp Suite ist nicht nur ein Proxy. Es ist ein ganzes Ökosystem von Werkzeugen. Lassen Sie uns drei Module betrachten, die am häufigsten verwendet werden.

Repeater – manuelles Testen von Anfragen

Repeater ist das Arbeitspferd des Pentesters. Sie senden eine Anfrage aus dem HTTP-Verlauf (rechte Maustaste → Send to Repeater) und können dann:

Beliebige Parameter der Anfrage ändern
Die Anfrage erneut mit der Schaltfläche Send senden
Die Serverantwort im rechten Panel sehen
Antworten auf verschiedene Varianten der Anfrage vergleichen
Die Historie aller gesendeten Varianten speichern

Ein typisches Nutzungsszenario für Repeater: Sie haben den Parameter id=5 in einer GET-Anfrage gefunden. Sie senden die Anfrage an Repeater und beginnen zu überprüfen: Was passiert bei id=1, id=0, id=-1, id=999999? Dies ist eine grundlegende Überprüfung auf IDOR (Insecure Direct Object Reference).

Intruder – automatisiertes Durchprobieren

Intruder ermöglicht es, Parameterwerte automatisch durch ein vorgegebenes Wörterbuch oder Muster zu durchprobieren. Die Hauptangriffsmodi sind:

Modus	Beschreibung	Anwendung
Sniper	Ein Parameter, ein Wörterbuch	Brute-Force eines Feldes
Battering Ram	Mehrere Parameter, ein Wert	Wenn der gleiche Wert an mehreren Stellen benötigt wird
Pitchfork	Mehrere Parameter, mehrere Wörterbücher (synchron)	Durchprobieren von Login+Passwort aus vorgefertigten Paaren
Cluster Bomb	Mehrere Parameter, alle Kombinationen	Vollständiges Durchprobieren aller Kombinationen

In der Community-Version ist die Geschwindigkeit von Intruder künstlich begrenzt (ca. 1 Anfrage pro Sekunde). In der Professional-Version gibt es keine Einschränkungen. Um diese Einschränkung in der Community zu umgehen, verwenden Benutzer Drittanbietererweiterungen oder das Tool ffuf/wfuzz in Verbindung mit Burp.

Scanner – automatisierte Schwachstellensuche (Pro)

Der Scanner ist nur in der Professional-Version verfügbar. Er analysiert automatisch die abgefangenen Anfragen und sucht nach Schwachstellen: SQL-Injection, XSS, XXE, SSRF, Path Traversal und anderen. In der Community-Version gibt es passives Scannen – Burp analysiert den Verkehr und hebt potenziell gefährliche Stellen ohne aktive Angriffe hervor.

Suche nach typischen Schwachstellen mit Burp Suite

Lassen Sie uns praktische Szenarien zur Suche nach den häufigsten Schwachstellen mit Burp Suite betrachten.

SQL-Injection (SQLi)

Grundlegende Überprüfung auf SQLi über Repeater:

Fangen Sie eine Anfrage mit einem Parameter ab, der in die Datenbank geht (z.B. id=5 oder search=test)
Send to Repeater
Fügen Sie dem Wert ein einfaches Anführungszeichen hinzu: id=5'
Klicken Sie auf Send und prüfen Sie die Antwort – wenn der Server einen SQL-Fehler zurückgibt oder sich das Verhalten ändert, gibt es einen Hinweis auf SQLi
Überprüfen Sie die boolesche Injektion: id=5 AND 1=1 vs id=5 AND 1=2 – wenn die Antworten unterschiedlich sind, gibt es eine Injektion

Reflected XSS

Überprüfung auf reflektiertes XSS:

Finden Sie einen Parameter, dessen Wert auf der Antwortseite angezeigt wird
Send to Repeater
Fügen Sie eine Testlast ein: <script>alert(1)</script>
Überprüfen Sie die Antwort – wenn die Last ohne Escaping in das HTML gelangt, ist XSS vorhanden
Überprüfen Sie, ob das script-Tag gefiltert wird: versuchen Sie <img src=x onerror=alert(1)>

IDOR (Insecure Direct Object Reference)

Eine der häufigsten Klassen von Schwachstellen in modernen Webanwendungen:

Finden Sie Anfragen, die auf Objekte über eine numerische ID zugreifen: /api/user/profile?id=1234
Send to Repeater
Ändern Sie die ID auf einen anderen Wert: id=1235, id=1
Wenn der Server Daten eines anderen Benutzers ohne Autorisierungsfehler zurückgibt, handelt es sich um IDOR

Überprüfung der Autorisierung und Sitzungsverwaltung

Burp Suite ermöglicht es, Autorisierungsmechanismen einfach zu überprüfen:

Kopieren Sie die Anfrage an eine geschützte Ressource in Repeater
Entfernen oder ändern Sie den Wert des Sitzungscookies
Überprüfen Sie, ob der Server einen Autorisierungsfehler zurückgibt oder trotzdem Daten liefert
Überprüfen Sie, ob JWT-Token funktionieren, wenn der Algorithmus auf none geändert wird

Burp Suite + externer Proxy: wozu das nötig ist

Burp Suite ist ein lokales Instrumental-Proxy. In bestimmten Szenarien muss der Pentester jedoch den Verkehr von Burp über einen externen Proxy leiten. Lassen Sie uns betrachten, wann und warum dies erforderlich ist.

Szenario 1: Testen von einer realen IP-Adresse

Einige Webanwendungen haben Schutzmaßnahmen basierend auf Geolokalisierung oder IP-Reputation. Wenn die Zielanwendung den Verkehr aus Rechenzentren oder von bekannten VPN-IP-Adressen blockiert, kann der Pentester residential proxies verwenden – diese haben IP-Adressen von echten Heimnutzern und erscheinen dem Server wie ein normaler Besucher.

Szenario 2: Umgehung von Rate Limiting bei aktivem Testen

Bei aktivem Scannen oder der Arbeit mit Intruder kann der Zielserver Ihre IP aufgrund der hohen Anzahl von Anfragen blockieren. Die Rotation über einen Pool von Proxys ermöglicht es, die Last auf verschiedene IP-Adressen zu verteilen. Für diese Aufgaben eignen sich Datacenter-Proxys gut – sie bieten hohe Geschwindigkeit und Stabilität der Verbindung, was bei automatisierten Tests entscheidend ist.

So richten Sie einen Upstream-Proxy in Burp Suite ein

Burp Suite unterstützt Upstream-Proxys (Proxy höherer Ebene). Die Einrichtung:

Öffnen Sie Burp Suite → Einstellungen (oder Benutzeroptionen in älteren Versionen)
Gehen Sie zu Netzwerk → Verbindungen → Upstream-Proxy-Server
Klicken Sie auf Hinzufügen
Geben Sie im Feld Zielhost * (für alle Hosts) oder eine bestimmte Domain an
Geben Sie die Adresse und den Port des externen Proxys an
Wählen Sie den Typ: HTTP, SOCKS4 oder SOCKS5
Geben Sie bei Bedarf Benutzername und Passwort ein
Klicken Sie auf OK

# Beispielkonfiguration eines Upstream-Proxys in Burp Suite:

Zielhost: *
Proxy-Host:       proxy.example.com
Proxy-Port:       8888
Auth-Typ:        Basic
Benutzername:         your_login
Passwort:         your_password
Proxy-Typ:       SOCKS5

Nach dieser Einstellung wird der gesamte Verkehr, den Burp an die Zielserver sendet, über den angegebenen Upstream-Proxy geleitet. Der Browser verbindet sich weiterhin mit Burp unter 127.0.0.1:8080, und Burp leitet die Anfragen selbstständig über den externen Proxy weiter.

Vergleich von Proxy-Typen für Pentests

Proxy-Typ	Geschwindigkeit	Anonymität	Anwendung im Pentest
Datacenter	Hoch	Mittel	Aktives Scannen, Intruder
Residential	Mittel	Hoch	Umgehung von Geoblocking, Benutzerimitation
Mobil	Mittel	Sehr hoch	Testen von mobilen APIs, Umgehung strenger WAFs

Tipps und häufige Fehler bei der Arbeit mit Burp Suite

Im Laufe der Jahre hat die Burp Suite-Community eine Liste typischer Anfängerfehler und bewährter Techniken gesammelt. Hier sind die wichtigsten.

Häufige Anfängerfehler

CA-Zertifikat vergessen zu installieren. Symptom: HTTPS-Websites zeigen eine Warnung über eine unsichere Verbindung, der Verkehr wird nicht abgefangen. Lösung: Installieren Sie das Zertifikat gemäß der obigen Anleitung.
Intercept blieb aktiviert. Der Browser „hängt“ – lädt keine Seiten. Lösung: Gehen Sie zu Proxy → Intercept und klicken Sie auf „Intercept is on“, um den Abfang zu deaktivieren.
Keine Ausnahmen für den Systemverkehr hinzugefügt. Burp fängt den Verkehr von Windows-Updates, Antivirenprogrammen usw. ab. Richten Sie Filter in Proxy → Optionen → Intercept Client Requests ein, um nur die benötigten Domains abzufangen.
Testen des Produktionsservers ohne Genehmigung. Das ist illegal. Verwenden Sie nur Testumgebungen oder Anwendungen mit ausdrücklicher Genehmigung.
Die Registerkarte Ziel → Site Map ignorieren. Hier erstellt Burp eine Karte der gesamten Anwendung – alle entdeckten Endpunkte, Parameter und Antworten. Dies ist eine wertvolle Informationsquelle bei der Erkundung.

Nützliche Techniken

Match and Replace. In Proxy → Optionen → Match and Replace können Sie automatische Ersetzungen von Werten in Anfragen einrichten. Zum Beispiel automatisch einen Header hinzufügen oder den User-Agent auf mobil ändern.
Decoder. Das Modul Decoder ermöglicht es, Daten schnell zu dekodieren/kodieren: Base64, URL-Encoding, HTML-Entities, Hex. Unverzichtbar bei der Analyse von Tokens und Parametern.
Comparer. Ermöglicht den byteweisen Vergleich zweier Serverantworten. Senden Sie zwei ähnliche Anfragen an Comparer und sehen Sie sofort den Unterschied.
BApp Store. Burp Suite unterstützt Erweiterungen (BApp Store). Beliebte: Autorize (Autorisierungsüberprüfung), Logger++ (erweiterte Protokollierung), Turbo Intruder (schnelles Durchprobieren in der Community), JWT Editor.
Projekt speichern. In der Professional-Version können Sie Projekte speichern. In der Community verwenden Sie Export → Save state, um den HTTP-Verlauf beim Schließen nicht zu verlieren.
Verwenden Sie Scope. Fügen Sie in Ziel → Scope die Domain der Zielanwendung hinzu. Dies ermöglicht es Burp, irrelevanten Verkehr zu filtern und den HTTP-Verlauf nicht mit Anfragen an Google, CDN usw. zu überladen.

Nützliche Ressourcen für die Praxis

Ressource	Typ	Für wen
PortSwigger Web Security Academy	Kostenlose Labs + Theorie	Anfänger und mittleres Niveau
DVWA (Damn Vulnerable Web App)	Lokale Umgebung	Praxis ohne Risiko
HackTheBox / TryHackMe	Online-CTF-Plattformen	Praxis realer Szenarien
WebGoat (OWASP)	Lokale Umgebung mit Lektionen	Studium der OWASP Top 10

Fazit

Burp Suite ist ein leistungsstarkes und gleichzeitig zugängliches Tool zur Sicherheitsüberprüfung von Webanwendungen. Sein Proxy-Modul bietet vollständige Sichtbarkeit des HTTP/HTTPS-Verkehrs, und die Kombination aus Proxy → Repeater → Intruder deckt die meisten Aufgaben des manuellen Pentests ab. Sie können kostenlos mit der Community-Version und den kostenlosen Laboren der PortSwigger Web Security Academy beginnen – das ist der beste Weg, um das Tool in der Praxis zu erlernen.

Die wichtigsten Schritte zum Start: Installieren Sie Burp Suite, konfigurieren Sie den Browser über FoxyProxy, installieren Sie das CA-Zertifikat, fügen Sie die Ziel-Domain zum Scope hinzu – und Sie sind bereit zur Arbeit. Nachdem Sie die grundlegenden Module beherrscht haben, sollten Sie sich mit den Erweiterungen aus dem BApp Store vertrautmachen: Autorize, Turbo Intruder und JWT Editor erweitern Ihre Möglichkeiten erheblich.

Wenn Sie im Rahmen Ihres Pentests Anwendungen mit nicht standardmäßiger Geolokalisierung testen, IP-Blockaden umgehen oder den Verkehr echter Benutzer imitieren müssen, empfehlen wir, einen Upstream-Proxy in Burp Suite einzurichten. Für Aufgaben, bei denen hohe Anonymität und Umgehung von Schutzmaßnahmen auf Basis der IP-Reputation wichtig sind, eignen sich residential proxies gut – sie bieten Verkehr von IP-Adressen echter Benutzer und minimieren das Risiko einer Blockierung während des Tests.