Estoy intentando capturar solicitudes / respuestas usando Burp en Mozilla. He configurado Burp Proxy en 8080 y he establecido la misma configuración de proxy en Firefox. Sin embargo, al probar el enlace de Gmail, Firefox muestra el mensaje de error "Esta conexión no es de confianza".
Mientras que otras páginas están permitidas como Google, que también funcionan en HTTPS. ¿Me ayudan con esto para que pueda ejecutar Burp para capturar solicitudes / respuestas?
Obtendrá ese error cuando acceda a Gmail, y realmente no hay nada que pueda hacer al respecto, excepto probar diferentes navegadores.
Esto se debe a HSTS (HTTP Strict Transport Security) que Google ha implementado junto con la opción de incluir la fijación de certificados. Esto significa que para acceder a sus sitios sin esta advertencia, no solo necesita un certificado que su computadora considere válido, sino específicamente un certificado que Google haya dicho que sea válido. Sin un certificado real que Google haya fijado, la conexión no será confiable.
HTST generalmente se implementa como un encabezado, por lo que si eres un hombre activo en el medio, es posible que tengas la oportunidad de eliminar el encabezado (o al menos modificarlo para que no incluya los pines de certificación) antes de que llegue al Navegador, evitando que lo impida, pero ni siquiera este método funcionará con Gmail, ya que las propiedades de Google (entre otras) son parte del conjunto HSTS precargado que viene con algunos navegadores, incluidos Chrome y Firefox. Esto significa que su navegador viene preinstalado con el conocimiento de que Gmail requiere HTTPS y certificados anclados específicos.
Por lo tanto, pruebe con diferentes navegadores e intente quitar los certificados anclados del encabezado de respuesta Strict-Transport-Security antes de que llegue al navegador para que no afecten su capacidad para MitM en los navegadores que no tienen Gmail. en una lista HSTS precargada.
para solucionar el problema de https, debe agregar el certificado burp a su navegador.
Primero: en la pestaña proxy, elija las opciones y exporte su certificado desde burp, guárdelo en algún lugar:
ensegundolugar:almuerzatunavegador,veaConfiguracióndeChrome/Preferencias/DebajodeHood/Administrarcertificados/AutorizacióndecertificaciónderaízconfiableyhazclicenelbotónImportar.
Despuésdeeso,creoquedebesreiniciarChrome
ParaFirefoxpuedeshacerlamismamanipulación,peroparaobtenerelcertificadodeeructo,visitaestaurl://burp/cert.
luego,vayaalasopciones>advenced>certificats>mostrarcertif>autorithyycargueelburpcertif.
despuésdequereinicieFirefoxyvuelvaaintentarlo:
Si desea interceptar el tráfico SSL, deberá instalar el certificado CA de Burp. Consulte los documentos de burp para obtener más información.
Lea otras preguntas en las etiquetas web-application tls penetration-test