Capturer le trafic d’un iPhone avec Burp Suite

Burp Suite est une plateforme intégrée de tests d’intrusion, destinée aux tests de sécurité des applications. Elle peut capturer et déboguer le trafic HTTPS, mais elle ne propose pas d’application mobile. Pour capturer le trafic HTTP/S d’un iPhone, il faut configurer un proxy Wi-Fi sur l’iPhone et faire suivre les requêtes vers Burp Suite. À chaque capture, le proxy Wi-Fi doit être reconfiguré, ce qui est fastidieux. Les applications développées avec des frameworks comme Flutter n’empruntent pas le proxy système : leur trafic n’est donc pas capturé.

ApiCatcher est un outil de capture et de débogage HTTPS. Son application mobile lève la contrainte de la capture sur iPhone : elle capture via un VPN, sans proxy Wi-Fi à configurer, et elle peut aussi capturer le trafic des applications Flutter.

ApiCatcher a publié en open source son protocole de synchronisation distante en temps réel. Il est donc possible d’implémenter un récepteur pour recevoir le trafic HTTP/S qu’il capture en direct. L’extension Burp Suite fournie par ApiCatcher est précisément un récepteur de ce protocole : elle synchronise en temps réel vers Burp Suite le trafic HTTP/S capturé par ApiCatcher.

Téléchargez l’extension ApiCatcher for Burp Suite sur GitHub, installez-la dans Burp Suite, ouvrez le panneau de l’extension et démarrez l’écoute. Ouvrez ensuite ApiCatcher sur l’iPhone et scannez le QR code affiché sur la page de l’extension pour activer la synchronisation en temps réel. Les paquets capturés sur l’iPhone apparaissent dans le Sitemap de Burp Suite, ou dans Proxy History.

L’installation et l’utilisation sont détaillées dans ce tutoriel : https://apicatcher.net/fr/burpsuite-extension