Burp Suite Tutorial: Finde Schwachstellen in Webanwendungen Schritt für Schritt

TL;DR

Burp Suite ist das am weitesten verbreitete Tool für Sicherheitstests von Webanwendungen, das von über 70.000 Organisationen weltweit eingesetzt wird. Dieser Leitfaden führt Anfänger durch den gesamten Workflow: Burp Community Edition installieren, den Browser-Proxy konfigurieren, HTTP-Anfragen abfangen und modifizieren, eine Webanwendung crawlen und Repeater sowie Intruder verwenden, um SQL-Injection und Cross-Site-Scripting in DVWA zu finden. Keine vorherige Pentesting-Erfahrung erforderlich.

Die Anmeldeseite sah normal aus. Ein einfaches Formular mit zwei Feldern, ein Absende-Button, nichts Ungewöhnliches. Aber als Carla, eine Junior-Pentesterin bei ihrem ersten Kundeneinsatz, ein einzelnes Apostroph in das Benutzernamenfeld tippte und auf Absenden klickte, antwortete die Anwendung mit einer vollständigen Datenbankfehlermeldung. Tabellennamen, Spaltenreferenzen, die SQL-Abfrage selbst, alles im Klartext auf dem Bildschirm. Sie hatte eine SQL-Injection-Schwachstelle in unter dreißig Sekunden gefunden, nicht weil sie ein Genie war, sondern weil sie wusste, wie man Burp Suite benutzt.

Diese Entdeckung veränderte den gesamten Einsatz. Die SQL-Injection führte zur vollständigen Datenbankextraktion, die Passwörter im Klartext offenlegte, was ihr Zugang zum Admin-Panel gab. Ein Apostroph. Ein Tool. Ein vollständiger Kompromiss, dokumentiert in ihrem Bericht vor dem Mittagessen.

Burp Suite ist das Tool, das dies möglich machte. Nicht durch Automatisierung von allem, sondern indem es Carla vollständige Sichtbarkeit über jede HTTP-Anfrage und -Antwort gab, die zwischen Browser und Anwendung floss. Sie konnte sehen, was die Anwendung tat, modifizieren, was sie empfing, und testen, wie sie antwortete. Diese Sichtbarkeit ist es, die jemanden, der Buttons klickt, von jemandem unterscheidet, der Schwachstellen findet.

Was ist Burp Suite und warum ist es wichtig

Burp Suite, entwickelt von PortSwigger, ist eine integrierte Plattform für Sicherheitstests von Webanwendungen. Es funktioniert als Proxy, der sich zwischen deinen Browser und die Ziel-Webanwendung setzt und jede Anfrage und Antwort zur Inspektion und Manipulation erfasst. Betrachte es als ein Sicherheitsmikroskop für HTTP-Verkehr.

Das Tool ist wichtig, weil Webanwendungen die primäre Angriffsfläche für die meisten Organisationen sind. Laut OWASP zählen Injection-Schwachstellen einschließlich SQL-Injection und Cross-Site-Scripting seit der ersten Veröffentlichung der Liste 2003 jedes Jahr zu den Top 10 der Sicherheitsrisiken für Webanwendungen. Die durchschnittlichen Kosten einer Datenpanne durch eine Webanwendungs-Schwachstelle erreichten 2024 laut dem Jahresbericht von IBM 4,88 Millionen USD. Diese Schwachstellen vor Angreifern zu finden ist nicht optional. Es ist die Kernaufgabe von Web-Application-Pentestern.

Burp Suite Community Edition ist kostenlos und enthält alles, was du zum Start brauchst: den Proxy zum Abfangen von Verkehr, Repeater zum manuellen Wiedersenden modifizierter Anfragen, Intruder für automatisierte Payload-Lieferung (in der kostenlosen Version ratenbegrenzt), Decoder zum Kodieren und Dekodieren von Daten und Comparer zum Erkennen von Unterschieden zwischen Antworten. Über 60 % der Penetrationstest-Stellenangebote listen Burp Suite als erforderliche oder bevorzugte Fähigkeit. Es zu lernen ist nicht nur lehrreich. Es ist eine Karriereinvestition.

Burp Suite Community Edition installieren

Burp Suite läuft auf Windows, macOS und Linux. Es erfordert Java, aber der Installer bringt seine eigene Java-Laufzeitumgebung mit, du musst also nichts separat installieren.

Lade die Community Edition von PortSwiggers offizieller Download-Seite herunter. Wähle den Installer für dein Betriebssystem. Auf Linux ist der Download ein Shell-Skript:

chmod +x burpsuite_community_linux_v2024_x_x.sh
./burpsuite_community_linux_v2024_x_x.sh

Auf macOS öffne die .dmg-Datei und ziehe Burp Suite in deinen Programme-Ordner. Auf Windows führe den .exe-Installer aus und folge den Anweisungen.

Starte Burp Suite und wähle "Temporary Project" (die einzige Option in der Community Edition). Auf dem nächsten Bildschirm wähle "Use Burp defaults" und klicke "Start Burp". Die Hauptoberfläche lädt mit Tabs oben: Dashboard, Target, Proxy, Intruder, Repeater und mehr. Der Proxy-Tab ist der Ort, an dem du als Anfänger die meiste Zeit verbringen wirst.

Den Browser-Proxy konfigurieren

Burp Suite funktioniert, indem es HTTP-Verkehr zwischen deinem Browser und der Zielanwendung abfängt. Dafür musst du deinen Browser so konfigurieren, dass er den Verkehr durch Burps Proxy-Listener leitet.

Standardmäßig lauscht Burp auf 127.0.0.1:8080. Du kannst dies im Proxy-Tab unter "Proxy settings" überprüfen. Der Listener sollte als aktiv angezeigt werden.

Der einfachste Ansatz ist, Burps eingebauten Chromium-Browser zu verwenden. Klicke auf "Open browser" im Proxy-Tab, und Burp startet einen vorkonfigurierten Browser, der Verkehr bereits durch den Proxy leitet. Das vermeidet jede System-Proxy-Konfiguration und hält deine Tests von deinem regulären Browsing isoliert.

Wenn du Firefox bevorzugst, installiere die FoxyProxy-Erweiterung. Erstelle einen neuen Proxy-Eintrag mit folgenden Einstellungen:

• Proxy-Typ: HTTP
• Proxy-IP: 127.0.0.1
• Port: 8080

Aktiviere den Proxy in FoxyProxy, navigiere dann zu http://burpsuite in Firefox. Dies lädt die Download-Seite des Burp CA-Zertifikats. Lade das Zertifikat herunter und importiere es dann in Firefox über Einstellungen, Datenschutz und Sicherheit, Zertifikate anzeigen, Importieren. Dieser Schritt ist essenziell. Ohne das installierte CA-Zertifikat zeigen HTTPS-Verbindungen Sicherheitswarnungen an, weil Burp eine Man-in-the-Middle-Abfangung durchführt, um TLS-Verkehr zur Inspektion zu entschlüsseln.

Einmal konfiguriert, fließt jede HTTP- und HTTPS-Anfrage von deinem Browser durch Burp Suite. Du siehst den Verkehr sofort in der HTTP-History des Proxy-Tabs erscheinen.

Anfragen abfangen und modifizieren

Der Proxy-Tab ist das Herzstück von Burp Suite. Er hat zwei Modi: Abfangen an und Abfangen aus. Wenn das Abfangen aktiviert ist, pausiert Burp jede Anfrage, bevor sie den Server erreicht, und lässt dich sie inspizieren und modifizieren. Wenn das Abfangen deaktiviert ist, fließt der Verkehr normal, wird aber trotzdem in der HTTP-History protokolliert.

Starte mit deaktiviertem Abfangen. Navigiere zu deiner DVWA-Instanz im Browser, melde dich an und browse herum. Wechsle zum Proxy-Tab und klicke auf "HTTP history". Du siehst jede Anfrage mit Methode, URL, Statuscode, Länge und MIME-Typ aufgelistet. Klicke auf eine Anfrage, um die vollständigen Header und den Body im unteren Panel zu sehen. Klicke auf den "Response"-Tab, um zu sehen, was der Server zurückgesendet hat.

Aktiviere nun das Abfangen. Navigiere zur SQL-Injection-Seite von DVWA und tippe admin in das User-ID-Feld. Klicke auf Submit. Statt dass die Seite lädt, fängt Burp die Anfrage ab und zeigt sie im Intercept-Tab an. Du kannst die vollständige GET- oder POST-Anfrage sehen, einschließlich Parameter, Cookies und Header.

Hier beginnen die Tests. Ändere den id-Parameter von admin zu 1' OR '1'='1 und klicke "Forward". Die modifizierte Anfrage erreicht den Server, und die Antwort erscheint in deinem Browser. Wenn die Anwendung verwundbar ist, gibt sie Daten zurück, die sie nicht sollte, weil du die Abfrage verändert hast, die die Anwendung gegen ihre Datenbank ausführte.

GET /vulnerabilities/sqli/?id=1'+OR+'1'%3d'1&Submit=Submit HTTP/1.1
Host: localhost
Cookie: PHPSESSID=abc123; security=low

Diese einzelne modifizierte Anfrage demonstriert den Kern-Workflow von Web-Application-Sicherheitstests: Abfangen, analysieren, modifizieren, weiterleiten, beobachten. Jede Schwachstelle, die du mit Burp findest, folgt diesem Muster.

Spider und Crawler verwenden

Bevor du einzelne Seiten testest, brauchst du eine Karte der gesamten Anwendung. Burps Target-Tab erstellt diese Karte während du browsst und zeigt jeden Host, jedes Verzeichnis und jede Datei, die die Anwendung referenziert. Aber manuelles Browsing übersieht Seiten. Der Crawler automatisiert die Entdeckung.

Im Target-Tab klicke mit der rechten Maustaste auf deinen Zielhost und wähle "Crawl" (in der Community Edition über den Dashboard-Tab unter "New scan" mit "Crawl" verfügbar). Der Crawler folgt jedem Link, sendet Formulare mit Testdaten ab und kartiert die Struktur der Anwendung. Er entdeckt Seiten, Parameter und Endpoints, die du manuell möglicherweise nie finden würdest.

Sobald das Crawling abgeschlossen ist, zeigt die Target-Sitemap den vollständigen Anwendungsbaum. Verzeichnisse expandieren, um Dateien anzuzeigen. Jede Datei zeigt, welche Parameter sie akzeptiert. Diese Karte wird deine Test-Checkliste: Jeder Parameter ist ein potenzieller Injektionspunkt, jedes Formular ist eine Oberfläche zum Sondieren.

Überprüfe die Sitemap mit der Denkweise eines Angreifers. Suche nach Seiten, die Benutzereingaben akzeptieren: Suchformulare, Anmeldeseiten, Kommentarfelder, Dateiupload-Endpoints, URL-Parameter. Das sind die Stellen, an denen SQL-Injection, Cross-Site-Scripting und andere Injection-Angriffe am wahrscheinlichsten funktionieren.

Repeater: Manuelle Anfragetests

Repeater ist das Tool, das du nach dem Proxy am häufigsten verwenden wirst. Es lässt dich eine Anfrage an den Server senden, die Antwort sehen, die Anfrage modifizieren und erneut senden, so oft du willst. Keine Browser-Interaktion nötig. Nur die rohe HTTP-Anfrage und -Antwort, nebeneinander.

Um eine Anfrage an Repeater zu senden, klicke mit der rechten Maustaste darauf in der Proxy HTTP-History und wähle "Send to Repeater". Wechsle zum Repeater-Tab. Die Anfrage erscheint im linken Panel. Klicke "Send" und die Antwort erscheint im rechten Panel.

So testest du SQL-Injection mit Repeater bei einem DVWA-Ziel. Beginne mit der abgefangenen Anfrage von der SQL-Injection-Seite:

GET /vulnerabilities/sqli/?id=1&Submit=Submit HTTP/1.1
Host: localhost
Cookie: PHPSESSID=abc123; security=low

Ändere den id-Parameter, um ein einzelnes Apostroph zu senden: id=1'. Klicke Send. Wenn die Antwort eine Datenbankfehlermeldung wie "You have an error in your SQL syntax" enthält, ist der Parameter injizierbar. Die Anwendung hängt deine Eingabe direkt an eine SQL-Abfrage ohne Bereinigung an.

Jetzt eskaliere. Ändere den Parameter zu id=1' UNION SELECT user, password FROM users--. Sende. Wenn die Antwort Benutzernamen und Passwort-Hashes aus der Datenbank enthält, hast du eine UNION-basierte SQL-Injection bestätigt, die Daten aus beliebigen Tabellen extrahiert.

Repeater glänzt bei diesen iterativen Tests. Jede Modifikation baut auf der vorherigen auf. Du startest mit einer Sonde (das Apostroph), bestätigst die Schwachstelle (die Fehlermeldung), dann eskalierst du zur vollen Ausnutzung (die UNION-Abfrage). Dokumentiere jeden Schritt. Dein Pentest-Bericht muss die exakten Anfragen und Antworten zeigen, die die Schwachstelle demonstrieren.

Intruder: Automatisierte Payload-Lieferung

Intruder automatisiert den Prozess, viele Variationen einer Anfrage zu senden, jede mit einem anderen Payload. Er ist essenziell für Brute-Force-Tests, Parameter-Fuzzing und Schwachstellen-Scanning über mehrere Eingabepunkte. In der Community Edition ist Intruder ratenbegrenzt, aber zum Lernen weiterhin funktional.

Um Intruder zu verwenden, klicke mit der rechten Maustaste auf eine Anfrage in Proxy oder Repeater und wähle "Send to Intruder". Der Intruder-Tab hat vier Unter-Tabs: Positions, Payloads, Settings und Results.

Im Positions-Tab hebt Burp Parameter hervor, von denen es denkt, dass du sie testen willst. Lösche alle Positionen mit dem "Clear"-Button, wähle dann den spezifischen Wert aus, den du testen willst, und klicke "Add". Markiere zum Beispiel den Wert des id-Parameters. Der Angriffstyp "Sniper" sendet einen Payload nach dem anderen an die markierte Position, was für die meisten Tests passend ist.

Wechsle zum Payloads-Tab. Unter "Payload settings" füge deine Teststrings hinzu. Für XSS-Tests füge Payloads hinzu wie:

<script>alert(1)</script>
<img src=x onerror=alert(1)>
"><script>alert(1)</script>
<svg onload=alert(1)>
'"><img src=x onerror=alert(1)>

Für SQL-Injection füge hinzu:

' OR '1'='1
' UNION SELECT NULL--
' AND 1=1--
' AND 1=2--
1; DROP TABLE users--

Klicke "Start attack". Intruder sendet jeden Payload und zeigt die Antworten in einer Ergebnistabelle. Sortiere nach Antwortlänge oder Statuscode, um Anomalien zu erkennen. Eine Antwort, die deutlich länger oder kürzer als andere ist, deutet darauf hin, dass der Payload ein anderes Verhalten ausgelöst hat, was oft auf eine Schwachstelle hinweist.

Für XSS-Erkennung suche die Payload-Strings in den Antwortkörpern. Wenn <script>alert(1)</script> unkodiert in der HTML-Antwort erscheint, ist die Anwendung für reflektiertes Cross-Site-Scripting verwundbar. Der Browser wird dieses Skript ausführen, wenn ein Opfer die manipulierte URL besucht.

XSS und SQL-Injection in DVWA finden

DVWA bietet absichtliche Schwachstellen auf vier Sicherheitsstufen: low, medium, high und impossible. Starte bei low und arbeite dich hoch. Jede Stufe fügt Eingabevalidierung hinzu, die du umgehen musst, und lehrt dich, wie echte Anwendungen versuchen (und scheitern), Angriffe zu verhindern.

SQL-Injection bei niedriger Sicherheitsstufe

Navigiere zur SQL-Injection-Seite. Stelle die DVWA-Sicherheit auf "low" in den DVWA Security Settings. Tippe 1 in das User-ID-Feld, sende ab und fange die Anfrage in Burp ab. Sende sie an Repeater.

Teste den id-Parameter mit: 1' OR '1'='1. Die Antwort gibt alle Benutzer der Datenbank zurück statt nur Benutzer 1. Die SQL-Abfrage der Anwendung sieht aus wie SELECT * FROM users WHERE user_id = '1' OR '1'='1', und da '1'='1' immer wahr ist, werden alle Zeilen zurückgegeben.

Eskaliere mit einem UNION-Angriff: 1' UNION SELECT user, password FROM users--. Die Antwort enthält nun Benutzernamen und ihre MD5-Passwort-Hashes. Das ist ein vollständiger Datenbank-Kompromiss über ein einziges Eingabefeld.

Reflektiertes XSS bei niedriger Sicherheitsstufe

Navigiere zur XSS (Reflected)-Seite. Gib <script>alert(1)</script> in das Namensfeld ein und sende ab. Die Seite reflektiert deine Eingabe ohne Kodierung, und das Skript wird ausgeführt. In einer echten Anwendung würde ein Angreifer eine URL mit diesem Payload erstellen und sie an ein Opfer senden. Wenn das Opfer auf den Link klickt, wird das Skript in dessen Browser-Sitzung ausgeführt und kann potenziell Cookies, Session-Tokens oder Anmeldedaten stehlen.

In Repeater teste Variationen, die gängige Filter umgehen:

<img src=x onerror=alert(document.cookie)>
<svg/onload=alert('XSS')>
<body onload=alert(1)>

Jeder erfolgreiche Payload demonstriert einen anderen Vektor. Der onerror-Handler feuert, wenn der Browser das nicht existierende Bild nicht laden kann. Der onload-Handler feuert, wenn das SVG-Element gerendert wird. Zu verstehen, warum jeder funktioniert, hilft dir, XSS in Anwendungen zu finden, die <script>-Tags filtern, aber Event-Handler übersehen.

Deinen Web-Security-Testing-Workflow aufbauen

Mit Proxy, Repeater und Intruder beherrscht, hast du einen vollständigen Test-Workflow. Beginne jeden Einsatz auf die gleiche Weise:

1. Kartiere die Anwendung. Browse manuell mit dem Proxy, der den Verkehr erfasst. Starte den Crawler. Überprüfe die Target-Sitemap, um jeden Eingabepunkt, jedes Formular, jeden Parameter und API-Endpoint zu identifizieren.

2. Identifiziere Injektionspunkte. Jeder Parameter, der Benutzereingaben akzeptiert, ist ein Kandidat. URL-Parameter, Formularfelder, HTTP-Header (besonders Cookies und Referrer) und JSON-Request-Bodies verdienen Tests.

3. Teste manuell mit Repeater. Sende Sondierungs-Payloads an jeden Injektionspunkt. Suche nach Fehlermeldungen, unerwartetem Verhalten oder reflektierten Eingaben in Antworten. Repeater gibt dir die Präzision, genau zu verstehen, was die Anwendung mit deiner Eingabe macht.

4. Automatisiere mit Intruder. Sobald du einen vielversprechenden Parameter identifizierst, verwende Intruder, um eine vollständige Payload-Liste zu senden. Vergleiche Antwortlängen und Statuscodes, um zu identifizieren, welche Payloads Schwachstellen ausgelöst haben.

5. Dokumentiere alles. Speichere Anfragen und Antworten für deinen Bericht. Burps eingebautes Logging erfasst den vollständigen HTTP-Austausch. Jeder Fund braucht die exakte Anfrage, die die Schwachstelle auslöst, und die Antwort, die ihre Existenz beweist.

Dieser Workflow gilt für jede Webanwendung, vom einfachen Anmeldeformular bis zur komplexen API mit hunderten Endpoints. Die Tools skalieren mit dem Ziel. Deine Aufgabe ist es, methodisch zu sein und jede Oberfläche abzudecken, bevor du deinen Test abschließt.

Über die Grundlagen hinaus: PortSwigger Web Security Academy

Sobald du mit Proxy, Repeater und Intruder in DVWA vertraut bist, wechsle zur Web Security Academy von PortSwigger. Sie ist kostenlos, vom gleichen Team erstellt, das Burp Suite entwickelt, und enthält über 200 praktische Labs zu jeder wichtigen Web-Schwachstellenklasse. Jedes Lab läuft in einer isolierten Umgebung und führt dich durch die exakte Angriffstechnik, von grundlegender SQL-Injection bis zu fortgeschrittenen Server-Side-Request-Forgery- und Deserialisierungsangriffen.

Die Academy strukturiert das Lernen nach Schwachstellentyp. Starte mit den SQL-Injection-Labs, dann XSS, dann Authentication-Bypass, dann Access Control. Jeder Abschnitt baut auf Konzepten des vorherigen auf. Wenn du die Lehrlings-Level-Labs abgeschlossen hast, hast du praktische Fähigkeiten, die sich direkt auf echte Einsätze übertragen.

Kombiniere die Academy mit dem OWASP Testing Guide, der die Methodik professioneller Pentester dokumentiert. Der Testing Guide erklärt, was zu testen ist und warum. Die Academy lehrt dich, wie du es mit Burp Suite testest. Zusammen bauen sie sowohl das Wissen als auch die Muskelgedächtnis auf, die Anfänger von effektiven Testern trennen.

Was als Nächstes üben

Der Weg vom Anfänger zum kompetenten Web-Application-Tester folgt einer vorhersehbaren Progression. Nach DVWA richte zusätzliche verwundbare Anwendungen ein: WebGoat für Java-basierte Schwachstellen, Juice Shop für eine moderne Single-Page-Anwendung und HackTheBox oder TryHackMe für realistische Szenarien. Jedes Ziel lehrt unterschiedliche Schwachstellenmuster und zwingt dich, deine Techniken anzupassen.

Lerne das Decoder-Tool zum Kodieren und Dekodieren von Base64, URL-Encoding, HTML-Entities und Hex. Viele Payloads brauchen Kodierung, um Web-Application-Firewalls und Eingabefilter zu umgehen. Lerne Comparer zum Erkennen subtiler Unterschiede zwischen Antworten, die auf bedingtes Verhalten hindeuten, was die Grundlage für Blind-SQL-Injection und Timing-Angriffe ist.

Erwäge, Burp mit Community-Extensions aus dem BApp Store (Extensions-Tab) zu erweitern. Die "Logger++"-Extension fügt erweitertes Logging hinzu. "Autorize" testet automatisch auf Access-Control-Schwachstellen. "Param Miner" entdeckt versteckte Parameter. Extensions vervielfachen deine Effektivität, ohne dass du eigene Tools von Grund auf bauen musst.

Carla, die Pentesterin, die SQL-Injection in dreißig Sekunden fand, hatte kein Glück. Sie folgte dem gleichen Workflow, den du gerade gelernt hast: Proxy konfigurieren, Verkehr abfangen, Parameter systematisch testen und Repeater zum Bestätigen und Eskalieren verwenden. Das Apostroph war beabsichtigt. Das Tool war bereit. Die einzige Variable war die Schwachstelle der Anwendung. Wenn du diesem Prozess folgst, ist das Finden deiner ersten echten Schwachstelle keine Frage des Ob. Es ist eine Frage des Wann.