TLS pass through cho phép người dùng loại bỏ các tên miền được chỉ định ra khỏi luồng xử lý của Burp Suite.

Burp Suite là một công cụ phân tích và kiểm thử bảo mật không còn quá xa lạ với các anh em trong group chúng ta. Đi cùng với sự mạnh mẽ và tiện lợi công cụ này mang lại, đôi khi chúng ta sẽ bắt gặp một vài tình huống phiền phức gây ra sự khó chịu cho người dùng, đặc biệt là với những người dùng Burp Suite thường xuyên như pentester, hacker, CTF enjoyer🗿…

Trong quá trình thực hiện kiểm thử bằng Burp Suite, lịch sử tất các request gửi đi sẽ được lưu vào HTTP history trong công cụ Proxy, bao gồm cả các request không mong muốn tự động gửi bởi trình duyệt hay còn gọi là request nhiễu – noise request.

Hoặc khi sử dụng chức năng Intercept của công cụ Proxy để can thiệp vào 1 request, các request nhiễu cũng bị giữ lại theo. Điều này khiến người dùng phải Forward thêm vài lần để lấy được request cần tìm, hoặc để gửi request đã qua chỉnh sửa đi và nhận response trả về, gây ra nhiều bất tiện trong quá trình kiểm thử.

Những request tự động này được gửi tới các dịch vụ phân tích lưu lượng truy cập trang web (Google Analytic,…), dịch vụ bảo vệ người dùng khỏi các trang web độc hại (Google Safe Browsing,…), và tới các dịch vụ khác như dịch vụ lưu trữ phía back-end (Google Cloud Storage,…) Nếu bạn là người dùng bình thường, những request này sẽ không ảnh hưởng tới trải nghiệm duyệt web, nhưng với những người sử dụng Burp Suite, những request này gây ra nhiều khó khăn trong quá trình kiểm thử.

Với các trang web sử dụng nhiều dịch vụ bên thứ 3, số lượng request tự động gửi có thể lên tới hàng nghìn!! Điều này khiến cho dữ liệu bị quá tải và khó xử lý dẫn đến nhầm lẫn và bỏ sót các request quan trọng, thậm chí còn gây tiêu tốn tài nguyên máy tính và thời gian của người dùng. Trung bình ta cần 1 giây để chuyển tiếp 1 request, với 1000 request không mong muốn ta phải bỏ ra gần 17 phút để xử lý chúng. Việc lặp đi lặp lại thao tác này sẽ khiến người dùng dễ mệt mỏi, khó chịu và ảnh hưởng tới hiệu suất công việc.

Nhưng đừng lo, với TLS pass through cộng đồng người dùng Burp Suite chúng ta sẽ không cần bận tâm đến việc ngồi lọc các request không mong muốn nữa.

Dưới đây là danh sách các tên miền chúng mình đã tổng hợp và sẽ cập nhật đều đặn, mong rằng sẽ có thêm nhiều đóng góp khác từ phía cộng đồng người dùng Burp Suite Việt Nam!!

https://github.com/cookiehanhoan/burp-configuration-tweak/blob/main/TLS-Pass-Through-List.txt