BurpSuite и OWASP ZAP

Burp Suite и ZAP — это не просто инструменты, это рабочие станции пентестера. Они позволяют заглянуть внутрь любого веб-приложения, перехватить и изменить запрос, увидеть, как сервер реагирует, и выявить слабые места ещё до того, как кто-то этим воспользуется.

В этом модуле вы:

🔀 Узнаете, что такое веб-прокси и как они помогают тестировщику "встать между" клиентом и сервером, чтобы видеть всё происходящее в веб-приложении.

🧰 Настроите своё тестовое окружение: установите прокси, правильно настроите браузер и поймёте, как убедиться, что всё работает с первого раза.

📡 Научитесь перехватывать и редактировать HTTP-запросы в реальном времени, видеть, что уходит на сервер, и — самое важное — менять это прямо на лету.

🔍 Потренируетесь в анализе ответов — искать заголовки, утечки, неочевидные подсказки и следы функционала, доступного "по умолчанию".

🧪 Освоите Burp Repeater и ZAP Repeater — чтобы повторять, менять и быстро тестировать гипотезы без лишней рутины.

📤 Разберётесь с декодированием, хэшированием и преобразованием данных — чтобы вы могли понимать и модифицировать всё, что скрыто в запросах.

🎯 Попробуете автоматизированные атаки с Burp Intruder и ZAP Fuzzer: подбирать параметры, искать слабые места словарями и разными вариациями значений.

🛡 Изучите сканеры уязвимостей внутри Burp и ZAP: как быстро просканировать сайт, где стоит быть осторожным, и как интерпретировать результаты.

🧩 Поймёте, как проксировать трафик от других инструментов (например, мобильных приложений) через Burp — важный навык для тестирования нестандартных клиентов.

⚙ А ещё — научитесь расширять функциональность Burp и ZAP с помощью плагинов: подключим расширения из BApp Store и Marketplace.

Этот модуль — не про чтение документации. Это практическая мастерская, где вы руками отработаете все ключевые навыки веб-разведки и тестирования через прокси. После него вы будете не просто "знать про Burp", а действительно использовать его как инструмент пентестера.