โดยปกติแล้วเวลาที่เราทำ pentest แล้วออก report เรียบร้อย สิ่งหนึ่งที่อาจเกิดขึ้นได้คือการที่รอให้ developer fix ช่องโหว่ แล้วเราเข้าไป revisit ว่าช่องโหว่ที่เคยแจ้งนั้นยังอยู่อยู่มั้ย ซึ่งบางครั้งหาก developer fix ไม่ดีก็จะหลงเหลือช่องโหว่อยู่ แล้วก็วนลูปไปคือ pentest ตรวจสอบ -> developer แก้ไข -> pentest ซ้ำ -> developer แก้ไข -> … ซึ่ง Burp Suite ได้ออก Extension ที่น่าสนใจเพื่อแก้ไขปัญหาดังกล่าวออกมานั่นคือ Replicator นั่นเอง

Replicator เป็นเครื่องมือที่จะทำให้ developer นั้นทดสอบช่องโหว่ที่ตรวจเจอโดย pentester ซ้ำได้ด้วยตัวเอง โดย pentester จำเป็นต้องทำการสร้าง Replicator file ออกมาก่อน จากนั้นเมื่อแก้ไขเสร็จแล้ว ทาง developer ก็ใช้เครื่องมือ Replicator ในการ load Replicator file แล้วทำการทดสอบโจมตีซ้ำด้วยตัวเองได้เลย ไม่จำเป็นต้องรอให้ Pentester มาซ้ำให้ เพื่อทำให้ตัว developer เองนั้นแก้ไขได้อย่างแน่นอนก่อน จากนั้นค่อยให้ pentester เข้ามาซ้ำตอนท้ายอีกที เพื่อให้แน่ใจว่าช่องโหว่ดังกล่าวถูกปิดแน่ๆอีกที ซึ่งวิธีการดังกล่าวจะทำให้ไม่เสียเวลาทั้งกับ pentester และ developer ในการทดสอบและแก้ไขหลายๆครั้งนั่นเอง

ปล. แต่ก็ยังคงแนะนำให้มีการ revisit โดย pentester ในตอนสุดท้ายนะครับ เพื่อให้แน่ใจได้ชัวร์ๆว่าช่องโหว่นั้นถูก fix จริงๆ

Source:: BurpSuite