最近流行りのMCP(Model Context Protocol)使うといろんな操作をAIエージェントにやってもらえるようになる。
今回は脆弱性診断等で使用されるBurp SuiteをBurp MCP Serverを使って自然言語で操作してみることを試してみた。
脆弱性診断業務の一部が自動化できると嬉しいので，良いアイデアをお持ちの方がいればぜひコメントお願いします。
Roo-Codeで試しましたが，お得に試したい
GitHub Copilot使用者向けの設定もおまけに記載しています。
ExtensionsタブからBApp Storeを選択する。
「MPC]などで検索してインストールする。
MCPというタブが追加されている。
割とMCP Client側でツールを起動するパターン(stdio接続)が多いが、
Burp MCP Serverの場合はBurp側でサーバが起動されている(SSE)。
後述するMCP Clientの設定では起動コマンドを記述しなくてよい。
portswiggerのmcp-server等を見ると起動コマンドが例で書いてあったりするが自分はつかわなかった。
{
"mcpServers": {
"burp": {
"url": "http://localhost:9876/sse",
"disabled": false,
"autoApprove": []
}
}
}
設定が間違っていると赤文字でエラーがでる。
Roo-Codeからタスクを依頼してみる。MCPを使わずに解決されると困るのでMCPを使うように明記した。
(システムプロンプトに記載してもよい)
Burp MCP Serverを使ってrepeaterにgoogle.comへアクセスする設定をいれてください。ただし，User-Agentをsigmaにして
MCPタブからEnable tools that can edit your configにチェックするとコンフィグをいじれるようになるらしい。
BurpのMCP Serverを使ってproxyのportを8080から8008に変更して
おおお!ちゃんとできた。
誤って余計なところにリクエストが飛ばないようにScopeを設定し，指定したFQDN以外へ通信が飛ばないようにしたりすることもあるので，数が多い時などはAIにやってもらえると嬉しいかも。
例: 「以下のurlをscopeに設定してください。urlは以下です」
Burp MCPを使って設定確認を行ってください。
- Drop all out-of scope requestsにチェックがついているか
- proxyのportが8008か
- scopeが設定されているか
違反しているものがあれば教えて
会社によってオフィシャルでやるべき設定があるのであればBurpの設定ファイルを共通化するのでも良いが，
使っているうちに設定を変える必要がある場面もあるので，AIエージェントにダブルチェックしてもらうのは結構良いのではないだろうか。
Postmanでやれよと言われたらそれまでだが，repeaterを使って連続してリクエストを飛ばしたい。
以下はイメージ。
リクエストは送ることができるが，http historyやRepeaterのresponseにはログが残らない。なぜなら，MCP ServerはBurp自体を操作しているのではなく，Burp APIを使ってBurpを操作しているためである。
だが，変わりにLoggerタブにログが出力されている。
これもBurpでやらなくてもいい案件な気はするが，
診断対象のurl一覧にアクセスして疎通できるかの一次切り分けをやってもらうと楽かもしれない。
以下のurlにアクセスして，アクセスできるか確かめてください。対象は以下です。一部のurlにはログイン後しかアクセスできないので，アクセスできなかった部分はログイン後に再アクセスしてみてください。
AIを使わなくても機械的にできそうとは思いつつ。
リクエストに含まれるパラメータのうち，リクエストが成功するのに不要なパラメータを削っておくとパラメータ改ざんが楽になりそう
このリクエストに含まれるパラメータを1つずつ削除してリクエストを再送してみてください。再送した結果，レスポンスが200 OKでなくなった場合にはそのパラメータを再度設定しなおしてください。
GitHub CopilotのMCP機能を使って同じことをやる方法を書いておく。
API代を気にせずに試したい人向けの設定を記載しておく。
CopilotをAgentモードにする
settings.jsonに以下を追加する
"mcp": {
"servers": {
"burp": {
"type": "sse",
"url": "http://127.0.0.1:9876/sse",
}
}
},
CopilotのChat欄にMCPのタブが追加されているのでクリックすると使用可能なツールが増える。
outputがエラーがでてなさそうなら使える。
一応動くが出力がイケてない気はする。
Be the first to comment
