Si të përdorni Burp Suite Intruder për të testuar fushat potencialisht të cenueshme në internet

Kur testoni një faqe interneti për çështje sigurie, një nga gjërat kryesore për t'i mbajtur sytë hapur janë ndërveprimet e përdoruesve. Një ndërveprim i përdoruesit është çdo veprim që përfshin faqen e internetit që përpunon një formë të veprimit të përdoruesit. Kjo mund të jetë ose në JavaScript në shfletuesin e përdoruesit ose në ndërveprime me serverin, si p.sh. me një formular PHP. Një burim tjetër problematikash janë variablat, këto nuk kanë nevojë të rezultojnë drejtpërdrejt nga të dhënat e përdoruesit dhe në vend të kësaj të kontrollojnë një aspekt tjetër të faqes.

Intruder është krijuar për të qenë një mjet për të automatizuar testimin e çdo burimi të mundshëm cenueshmërie. Ashtu si me mjetet e tjera të integruara si Repeater, ju mund t'i dërgoni një kërkesë që dëshironi të redaktoni te Intruder përmes menysë së klikuar me të djathtën. Kërkesat e dërguara më pas do të jenë të dukshme në skedën Intruder.

Shënim: Përdorimi i Burp Suite Intruder në një faqe interneti për të cilën nuk keni leje mund të jetë një vepër penale sipas ligjeve të ndryshme të keqpërdorimit të kompjuterit dhe hakerimit. Sigurohuni që të keni leje nga pronari i faqes së internetit përpara se ta provoni këtë.

Si të përdorni Intruder

Në përgjithësi nuk keni nevojë të konfiguroni nën-skedën "Target" në skedën Intruder. Nëse dërgoni një kërkesë, ajo automatikisht plotëson vlerat që ju nevojiten për të dërguar kërkesën në serverin e duhur. Do të ishte vërtet e dobishme vetëm nëse dëshironi të krijoni manualisht të gjithë kërkesën, ose nëse dëshironi të provoni të çaktivizoni HTTPS.

Skeda Target përdoret për të konfiguruar hostin që sulmohet.

Nën-skeda "Pozicionet" përdoret për të zgjedhur se ku në kërkesë dëshironi të futni ngarkesa. Burp automatikisht identifikon dhe thekson sa më shumë variabla që të jetë e mundur, megjithatë, ka të ngjarë të dëshironi ta kufizoni sulmin në vetëm një ose dy pika futjeje në të njëjtën kohë. Për të pastruar pikat e përzgjedhura të futjes, klikoni "Pastro §" në anën e djathtë. Për të shtuar pikat e futjes, theksoni zonën që dëshironi të ndryshoni, më pas klikoni "Shto §".

Kutia rënëse e llojit të sulmit përdoret për të përcaktuar se si dorëzohen ngarkesat. "Sniper" përdor një listë të vetme ngarkese dhe synon çdo pikë futjeje një nga një. "Battering ram" përdor një listë të vetme të ngarkesës, por e fut ngarkesën në të gjitha pikat e futjes menjëherë. Pitchfork përdor ngarkesa të shumta, e fut secilën në pikën e tij të futjes me numër përkatës, por përdor vetëm të njëjtën hyrje me numër nga secila listë. "Cluster bomb" përdor një strategji të ngjashme për të pirun, por provon çdo kombinim

Skeda Pozicionet përdoret për të zgjedhur se ku do të futen ngarkesat.

Nën-skeda "Payloads" përdoret për të konfiguruar ngarkesat e paguara që tentohen. Lloji i ngarkesës përdoret për të konfiguruar se si i specifikoni ngarkesat. Seksioni i mëposhtëm ndryshon në varësi të llojit të ngarkesës, por përdoret gjithmonë për të specifikuar vlerat e listës së ngarkesës. Përpunimi i ngarkesës ju lejon të modifikoni ngarkesat me pagesë ndërsa ato po dorëzohen. Si parazgjedhje, URL e ndërhyrës kodon një numër karakteresh speciale, ju mund ta çaktivizoni këtë duke hequr kutinë e zgjedhjes në fund të faqes.

Skeda e ngarkesave të dobishme përdoret për të konfiguruar ngarkesat që do të futen në pikat e futjes.

Nën-skedën "Opsionet" ju lejon të konfiguroni një numër cilësimesh të sfondit për skanerin. Ju mund të shtoni sisteme të përputhjes së rezultateve të bazuara në grep, të krijuara për t'ju ndihmuar të identifikoni informacionin kryesor nga rezultatet domethënëse. Si parazgjedhje, Intruder nuk ndjek ridrejtimet, kjo mund të aktivizohet në fund të nën-skedës.

Skeda Opsionet ju lejon të konfiguroni disa opsione shtesë të sfondit, por në përgjithësi mund të lihen vetëm.

Për të nisur sulmin, klikoni "Filloni sulmin" në këndin e sipërm djathtas të ndonjë prej nën-skedave "Intruder", sulmi do të nisë në një dritare të re. Për edicionin falas "Community" të Burp, Intruder është shumë i kufizuar me norma, ndërsa versioni Professional funksionon me shpejtësi të plotë.