TryHackMeの「Burp Suite Basic」ルームをクリアしました！

全体的に難易度は控えめで、回答不要（読むだけ）の問題も多かったのですが、Webセキュリティの基本ツールであるBurp Suiteの使い勝手を学ぶには最高のカリキュラムでした。

特に、実際にXSS（クロスサイトスクリプティング）を仕掛ける実践的な内容もあり、非常に面白かったです。

Burp Suite Hero

Burp Suiteのクロニウムで「お宝探し」

Burp Suiteに内蔵されているブラウザ（Chromium）を使って、ターゲットサイトをあちこちクリックしまくります。

すると、TargetタブのSiteMapに通信履歴がズラッと並びます。

ここを丁寧に見ていくと、「THM{...}」というフラグを見つけることができました。サイトの構造を可視化してくれるので、まさに「お宝探し」のような感覚で楽しめます。

セレニウムを使うための注意点

自動化ツールのセレニウムを使う場合、Burp Suiteの設定で以下の2点に注意が必要です。

1. ProxyのInterceptをOFFにする

2. Settingsの「Sand box」にチェックを入れておく

これをしておかないと、セレニウムがうまく動作しないことがあるので、詰まった時は確認してみてください。

「Forward」と「Intercept OFF」の違い（ダムの例え）

Burp SuiteのProxy機能で一番重要なのが「通信を止める（Intercept）」ことです。

これを直感的に理解するために、ダム（水門）に例えてみました。

Burp Intercept Concept

# 「Forward」ボタン（おすすめ）

これは「今せきとめているこの1通だけを通す」操作です。

水門を少しだけ開けて、必要な分だけ水を流し、また閉めるイメージ。

次の通信が来たらまた止まるので、1つひとつのリクエストを慎重に書き換えたり確認したりしたい時に便利です。

# 「Intercept OFF」にする

これは「ダムを完全に開放する（全通し）」状態です。

門をガラ空きにして、今止まっている通信も、これから来る通信もすべてノーチェックで流します。

ブラウザの挙動を普通に確認したい時に使います。

まとめ

Burp Suiteは多機能で最初は戸惑いますが、この「ダムの門を操作する感覚」を掴めれば、Web脆弱性の調査がぐっと楽しくなります。

今回はXSSの基礎も学べましたが、実際の攻撃の脅威を肌で感じることで、セキュアな開発の重要性を改めて実感しました。

また面白いカリキュラムがあったら共有します！