BSCP: jak skutecznie przygotować się do egzaminu Burp Suite

BSCP — Burp Suite Certified Practitioner to praktyczny egzamin PortSwigger z testowania aplikacji webowych. Aktualny format daje cztery godziny i dwie podatne aplikacje. W każdej trzeba przejść trzy etapy: konto użytkownika, panel administratora oraz odczyt /home/carlos/secret.

Wymagany poziom

PortSwigger zaleca samodzielne rozwiązywanie wszystkich laboratoriów Web Security Academy na poziomie Practitioner lub niższym oraz dobrą znajomość XSS. Egzamin wymaga aktywnej licencji Burp Suite Professional.

Nie ma podpowiedzi wskazującej kategorię podatności. Dlatego przygotowanie powinno mieszać tematy: access control, authentication, SSRF, deserialization, request smuggling, race conditions, XSS, SQLi i logikę biznesową.

Workflow czterech godzin

Pierwsze minuty przeznacz na mapę funkcji i role. Używaj target map, historii proxy, Repeatera i Comparera. Po każdym nowym kontekście uprawnień ponawiaj testy obiektów oraz funkcji.

Prowadź minimalne notatki: endpoint, parametr, hipoteza i wynik. Nie trać czasu na pełny raport — wymagany jest zapis projektu Burp, który może zostać poproszony do analizy.

Warunek gotowości

Wykonaj practice exam wiele razy i kończ laboratoria Practitioner bez solutions. Potrafisz szybko rozpoznać różnicę w odpowiedziach, budować łańcuch z dwóch błędów i zachować kontrolę czasu.

BSCP jest węższy niż OSWA, ale intensywnie sprawdza warsztat Burp. Certyfikat jest ważny pięć lat według bieżącej strony PortSwigger.

Architektura egzaminu i priorytety

Według PortSwigger egzamin trwa cztery godziny i obejmuje dwie aplikacje. W każdej trzeba przejść trzy etapy: uzyskać dostęp jako zwykły użytkownik, następnie jako administrator, a na końcu odczytać wskazany sekret z /home/carlos/secret. To wymusza budowę pełnego łańcucha, nie tylko znalezienie pojedynczej podatności.

Na początku szybko zmapuj uwierzytelnianie, role, obiekty i funkcje administracyjne. Zapisz, które zachowania mogą prowadzić do pierwszego etapu oraz które wymagają już sesji użytkownika. Jeśli hipoteza nie daje mierzalnego sygnału po kilku kontrolowanych próbach, oznacz ją i przejdź dalej zamiast zużywać całe okno na jeden parametr.

Burp Suite jako uporządkowany warsztat

Proxy history filtruj według hosta, metody, kodu odpowiedzi i typu pliku. Repeater służy do porównań: utrzymuj żądanie bazowe, zmieniaj jedną rzecz i zapisuj obserwację. Intruder może pomóc w ograniczonych, celowych testach, ale duża liczba requestów nie zastąpi modelu działania aplikacji. Projekt Burp powinien zachować pełny przebieg pracy, ponieważ PortSwigger może poprosić o jego dostarczenie.

Przed egzaminem sprawdź licencję Burp Suite Professional, wersję aplikacji, zapis projektu oraz wymagania proctoringu. W trakcie nie aktualizuj środowiska i nie instaluj przypadkowych rozszerzeń. Każde rozszerzenie zwiększa powierzchnię awarii i może zmienić żądania.

Plan treningu i kontrola czasu

Najpierw ukończ tematyczne laboratoria na poziomie Practitioner, później mieszaj kategorie i rozwiązuj je bez podpowiedzi. Ostatni etap to pełny practice exam na czas. Po każdej próbie notuj sygnał, który powinien skierować Cię do właściwej klasy błędu, oraz czynności, które nie przyniosły informacji.

Gotowość oznacza płynną pracę na dwóch aplikacjach równolegle, zachowanie działających sesji, szybkie cofnięcie błędnej zmiany i kontrolę wszystkich trzech etapów. Nie wystarczy znać payloady — trzeba rozumieć przepływ danych i konsekwencje każdej odpowiedzi serwera.

Checklista przed oddaniem etapu

Potwierdź, że działasz na właściwej aplikacji, w oczekiwanym kontekście użytkownika i że efekt utrzymuje się po ponownym żądaniu. Zachowaj minimalne request i response pokazujące przyczynę, nie dziesiątki niemal identycznych prób. Gdy etap wymaga sesji administratora, sprawdź rzeczywiste uprawnienie, a nie tylko nazwę cookie lub komunikat interfejsu.

W Repeaterze stosuj czytelne nazwy kart według aplikacji i hipotezy. Utrzymuj bazowe żądanie bez zmian, a eksperymenty duplikuj. Przy pracy na dwóch celach ta prosta dyscyplina zapobiega wysłaniu parametru do złego hosta i utracie działającego łańcucha.

Na ostatnie minuty zostaw kontrolę ukończonych etapów, zapis projektu oraz stan proctoringu. Nie wykonuj wtedy ryzykownej przebudowy działającego exploita. Jeżeli czegoś nie udało się potwierdzić, zachowane, uporządkowane dane ułatwią analizę wyniku bez tworzenia fałszywej pewności.

Ćwicz również cofanie zmian: przywrócenie bazowego requestu, ponowne logowanie i odbudowę sesji. W praktycznym egzaminie stabilny warsztat pozwala szybciej wrócić z błędnej hipotezy niż znajomość kolejnego egzotycznego payloadu.

Źródła: PortSwigger BSCP, How the BSCP exam works.