iPhone-Traffic mit Burp Suite mitschneiden

Burp Suite ist eine integrierte Penetrationstest-Plattform für Tests der Anwendungssicherheit. Sie kann HTTPS-Traffic erfassen und debuggen, bietet aber keine mobile App. Wer HTTP/S-Traffic auf dem iPhone mitschneiden will, muss dort einen WLAN-Proxy einrichten und die Anfragen an Burp Suite weiterleiten. Bei jedem Mitschnitt ist der WLAN-Proxy neu zu konfigurieren, und das ist umständlich. Anwendungen, die mit Frameworks wie Flutter entwickelt wurden, nutzen den Systemproxy nicht. Deren Traffic lässt sich auf diesem Weg nicht erfassen.

ApiCatcher ist ein Werkzeug zum Erfassen und Debuggen von HTTPS. Die mobile App nimmt das umständliche Mitschneiden auf dem iPhone ab: Sie erfasst den Traffic über ein VPN, ohne WLAN-Proxy, und kann auch den Traffic von Flutter-Apps mitschneiden.

ApiCatcher hat das Protokoll für die entfernte Echtzeit-Synchronisierung als Open Source veröffentlicht. Damit lässt sich ein Empfänger bauen, der den von ApiCatcher live erfassten HTTP/S-Traffic entgegennimmt. Die Burp-Suite-Erweiterung von ApiCatcher ist genau so ein Empfänger für dieses Protokoll: Sie synchronisiert den von ApiCatcher erfassten HTTP/S-Traffic in Echtzeit nach Burp Suite.

Laden Sie die Erweiterung ApiCatcher for Burp Suite auf GitHub herunter, installieren Sie sie in Burp Suite, wechseln Sie zum Erweiterungsfenster und starten Sie den Listener. Öffnen Sie dann ApiCatcher auf dem iPhone und scannen Sie den QR-Code auf der Erweiterungsseite, um die Echtzeit-Synchronisierung einzuschalten. Die auf dem iPhone erfassten Pakete erscheinen in der Sitemap von Burp Suite oder in der Proxy History.

Installation und Verwendung stehen in diesem Tutorial: https://apicatcher.net/de/burpsuite-extension