Jak používat Burp Suite Intruder k testování potenciálně zranitelných webových polí

Při testování webových stránek na bezpečnostní problémy je jednou z hlavních věcí, které je třeba mít otevřené, interakce uživatelů. Uživatelská interakce je jakákoliv akce, která zahrnuje zpracování webové stránky formou uživatelské akce. To může být buď v JavaScriptu v prohlížeči uživatele, nebo v interakcích se serverem, jako je například formulář PHP. Dalším zdrojem problémů jsou proměnné, které nemusí přímo vyplývat z uživatelského vstupu a místo toho řídí jiný aspekt stránky.

Intruder je navržen jako nástroj pro automatizaci testování jakéhokoli potenciálního zdroje zranitelnosti. Stejně jako u jiných vestavěných nástrojů, jako je Repeater, můžete poslat požadavek, který chcete upravit, do Vetřelce pomocí nabídky po kliknutí pravým tlačítkem. Odeslané požadavky pak budou viditelné v záložce Vetřelec.

Poznámka: Používání Burp Suite Intruder na webových stránkách, pro které nemáte povolení, může být podle různých zákonů o zneužívání počítačů a hackerství trestným činem. Než to zkusíte, ujistěte se, že máte povolení od vlastníka webu.

Jak používat Intruder

Obecně nemusíte konfigurovat podzáložku „Cíl“ na záložce Vetřelec. Pokud odešlete požadavek, automaticky naplní hodnoty, které potřebujete k odeslání požadavku na správný server. Bylo by to opravdu užitečné, pokud chcete buď ručně vytvořit celý požadavek, nebo pokud chcete zkusit deaktivovat HTTPS.

Karta Cíl se používá ke konfiguraci hostitele, na kterého útočí.

Podzáložka „Positions“ se používá k výběru, kam v požadavku chcete vložit užitečné zatížení. Burp automaticky identifikuje a zvýrazní co nejvíce proměnných, ale pravděpodobně budete chtít zúžit útok pouze na jeden nebo dva body vložení najednou. Chcete-li vymazat vybrané body vložení, klikněte na „Vymazat §“ na pravé straně. Chcete-li přidat body vložení, zvýrazněte oblast, kterou chcete změnit, a klikněte na „Přidat §“.

Rozbalovací seznam typu útoku se používá k určení způsobu doručení užitečného zatížení. „Sniper“ používá jeden seznam užitečného zatížení a cílí na každý bod vložení jeden po druhém. „Battering ram“ používá jeden seznam užitečného zatížení, ale vkládá užitečné zatížení do všech bodů vložení najednou. Pitchfork používá více užitečných zatížení, každý vkládá do příslušného očíslovaného vkládacího bodu, ale vždy používá pouze stejně očíslovaný záznam z každého seznamu. „Cluster bomb“ používá podobnou strategii jako vidle, ale zkouší každou kombinaci

Karta Pozice se používá k výběru, kam budou vloženy užitečné zatížení.

Dílčí záložka „Payloads“ se používá ke konfiguraci užitečného zatížení, o které se pokoušíte. Typ užitečného zatížení se používá ke konfiguraci toho, jak určujete užitečné zatížení. Níže uvedená část se liší v závislosti na typu užitečného zatížení, ale vždy se používá k určení hodnot seznamu užitečného zatížení. Zpracování užitečného zatížení vám umožňuje upravovat užitečné zatížení při jejich odesílání. Ve výchozím nastavení adresa URL vetřelce kóduje řadu speciálních znaků, což můžete zakázat zrušením zaškrtnutí políčka v dolní části stránky.

Karta užitečné zatížení se používá ke konfiguraci užitečných zatížení, která mají být vložena do bodů vložení.

Podkarta „Možnosti“ umožňuje konfigurovat řadu nastavení na pozadí skeneru. Můžete přidat systémy porovnávání výsledků založené na grep, které vám pomohou identifikovat klíčové informace ze smysluplných výsledků. Ve výchozím nastavení Intruder nesleduje přesměrování, to lze povolit ve spodní části podzáložky.

Karta Možnosti vám umožňuje konfigurovat některé další možnosti pozadí, ale lze je obecně ponechat.

Chcete-li zahájit útok, klikněte na „Zahájit útok“ v pravém horním rohu kterékoli podzáložky „Vetřelec“, útok se spustí v novém okně. Pro bezplatnou „Community“ edici Burp je Intruder silně omezen, zatímco verze Professional běží plnou rychlostí.