Kā automātiski aizstāt datus tīmekļa atbildē, izmantojot Burp Suite

Ja testējat vietni ar Burp Suite, varat veikt daudzas izmaiņas savos pieprasījumos un redzamajās tīmekļa lapās. Varat konfigurēt vairākas automātiskas izmaiņas, kas jāveic saņemtajās atbildēs. Opcijas ir atrodamas cilnes “Starpniekserveris” apakšcilnes “Opcijas” sadaļā “Atbildes modifikācija”. Visas automātiskās atbildes modifikācijas ir izstrādātas tā, lai tās būtu noderīgas cilvēkiem, kuri testē vietnes.

Piezīme. Burp Suite ir likumīgi izmantots kā drošības rīks. Tomēr, pirms mēģināt kaut ko darīt, jums ir jānodrošina vietnes īpašnieka atļauja pārbaudīt vietni, jo, ja to nedarāt, varat pārkāpt likumu, pat ja vietnē izmantojat tikai savu kontu.

Automātiskās modifikācijas opcijas ir atrodamas cilnes “Starpniekserveris” apakšcilnes “Opcijas” sadaļā “Atbildes modifikācija”.

Pirmā opcija ir “Rādīt slēptos veidlapas laukus”, un tai ir apakšopcija “Pamanāmi izcelt neslēptos veidlapas laukus”. Slēptie veidlapas lauki parasti satur iepriekš konfigurētu datu vērtību, piemēram, lietotāja ID. Šie dati ir jāiesniedz kopā ar pieprasījumu, taču lietotājam tie nav jāredz vai jārediģē. Atklājot laukus, varat vieglāk redzēt, kas notiek, ja rediģējat to vērtības. Šīs opcijas automatizē procesu, lai jūs varētu viegli atrast slēptos veidlapas laukus.

“Iespējot atspējotus veidlapas laukus” automātiski iespējo visus veidlapas laukus, kas ir atspējoti, lai neļautu lietotājam rediģēt to vērtības. “Noņemt ievades lauka garuma ierobežojumus” tiek noņemti visi ierobežojumi attiecībā uz to, cik rakstzīmju var iesniegt, izmantojot veidlapas lauku. Tas var izraisīt neparedzētu darbību vietnēs, kurās ir paredzēts tikai noteikts ievades ilgums.

Izmantojot opciju “Noņemt JavaScript veidlapas validāciju”, tiek dzēsts jebkurš JavaScript, kas apstiprina veidlapas datus to iesniegšanas laikā, ļaujot iesniegt nederīgus datus. “Noņemt visu JavaScript” no tīmekļa lapas izdzēš visu JavaScript. Šī opcija ir paredzēta, lai atspējotu klienta puses loģiku. “Removetags” izdzēš ārējo resursu konteinerus, piemēram, JavaScript noņemšanu. Tas ir paredzēts arī klienta puses loģikas atspējošanai.

“Pārvērst HTTPS saites uz HTTP” automātiski pazeminās šifrētās saites uz vienkārša teksta saitēm. Tas var būt noderīgi, lai pārbaudītu SSLSstrip tipa uzbrukumus un pārbaudītu, vai vietne jaunina vienkāršā teksta pieprasījumus. “Noņemt drošu karogu no sīkfailiem” automātiski noņem drošu karogu no sīkfailiem, kas novērš to pārsūtīšanu, izmantojot vienkārša teksta savienojumus. Tas var palīdzēt novērst autentifikācijas pilnvaru un citu sensitīvu sīkfailu noplūdi, veicot SSLSstrip tipa uzbrukumus.

Sadaļā “Saskaņot un aizstāt”, kas atrodas tieši zem sadaļas “Atbildes modifikācija”, varat konfigurēt pielāgotus noteikumus gan pieprasījumiem, gan atbildēm, izmantojot Regex. Varat aizstāt gan pieprasījuma, gan atbildes virsrakstus vai pamattekstu, parametru nosaukumus un vērtības, kā arī pieprasījuma pirmo rindiņu.

Varat konfigurēt pielāgotas automātiskās aizstāšanas iespējas, izmantojot cilnes “Starpniekserveris” apakšcilnes “Opcijas” sadaļu “Saskaņot un aizstāt”.