Burp Suite で iPhone の通信をキャプチャする方法

Burp Suite は、アプリケーションのセキュリティテスト向けの統合ペネトレーションテスト基盤です。HTTPS トラフィックのキャプチャとデバッグができます。ただし、モバイルアプリは提供されていません。iPhone の HTTP/S トラフィックをキャプチャするには、iPhone 側で Wi-Fi プロキシを設定し、リクエストを Burp Suite へ転送する必要があります。この方法では、キャプチャのたびに Wi-Fi プロキシを設定し直すことになり、手間がかかります。さらに、Flutter などのフレームワークで作られたアプリはシステムプロキシを経由しないため、そうしたアプリのトラフィックはキャプチャできません。

ApiCatcher は、HTTPS のキャプチャとデバッグのためのツールです。モバイルアプリがあるため、iPhone でキャプチャしにくい問題を解決できます。VPN 経由でキャプチャするので Wi-Fi プロキシの設定は不要で、Flutter アプリのトラフィックもキャプチャできます。

ApiCatcher は、リモートのリアルタイム同期プロトコルをオープンソースで公開しています。このプロトコルの受信側を実装すれば、ApiCatcher がリアルタイムにキャプチャした HTTP/S トラフィックを受け取れます。ApiCatcher が提供する Burp Suite 拡張機能は、まさにこのプロトコルの受信側です。ApiCatcher がキャプチャした HTTP/S トラフィックを、Burp Suite へリアルタイムに同期します。

GitHub から ApiCatcher for Burp Suite 拡張機能をダウンロードし、Burp Suite にインストールします。拡張機能のパネルに切り替え、待ち受けを開始します。次に iPhone の ApiCatcher を開き、Burp Suite 拡張機能の画面に表示された QR コードをスキャンして、リアルタイム同期を有効にします。iPhone でキャプチャしたパケットは、Burp Suite の Sitemap、または Proxy History に表示されます。

インストールと使い方の詳細は、こちらのチュートリアルを参照してください：https://apicatcher.net/ja/burpsuite-extension