Ako automaticky nahradiť údaje vo webovej odpovedi pomocou Burp Suite

Ak testujete webovú stránku s Burp Suite, existuje veľa zmien, ktoré môžete vykonať vo svojich požiadavkách a na webových stránkach, ktoré vidíte. Môžete nakonfigurovať množstvo automatických zmien, ktoré sa majú vykonať v prijatých odpovediach. Možnosti nájdete v časti „Úprava odpovede“ na podzáložke „Možnosti“ na karte „Proxy“. Všetky úpravy automatickej odpovede sú navrhnuté tak, aby boli užitočné pre ľudí testujúcich webové stránky.

Poznámka: Burp Suite má legitímne využitie ako bezpečnostný nástroj. Musíte sa však uistiť, že máte povolenie od vlastníka webovej lokality na testovanie webovej lokality skôr, ako sa pokúsite niečo urobiť, pretože ak to neurobíte, môžete porušiť zákon, aj keď na webovej lokalite používate iba svoj vlastný účet.

Možnosti automatickej úpravy nájdete v časti „Úprava odpovede“ na podzáložke „Možnosti“ na karte „Proxy“.

Prvá možnosť je „Zobraziť skryté polia formulára“ a prichádza s podmožnosťou „Výrazne zvýrazniť neskryté polia formulára“. Skryté polia formulára vo všeobecnosti obsahujú vopred nakonfigurovanú hodnotu údajov, ako napríklad ID používateľa. Tieto údaje je potrebné odoslať spolu so žiadosťou, ale používateľ ich nemusí vidieť ani upravovať. Odkrytím polí môžete ľahšie vidieť, čo sa stane, ak upravíte ich hodnoty, tieto možnosti automatizujú proces, takže môžete ľahko nájsť skryté polia formulára.

„Povoliť zakázané polia formulára“ automaticky povolí všetky polia formulára, ktoré boli zakázané, aby sa zabránilo používateľovi upravovať ich hodnoty. „Odstrániť limity dĺžky vstupného poľa“ odstraňuje akékoľvek obmedzenia počtu znakov, ktoré možno odoslať prostredníctvom poľa formulára. To môže spôsobiť neočakávané správanie na webových stránkach, ktoré očakávajú len určitú dĺžku vstupu.

„Odstrániť overenie formulára JavaScript“ odstráni akýkoľvek JavaScript, ktorý overuje údaje formulára pri ich odosielaní, čo umožňuje odosielanie neplatných údajov. „Odstrániť všetok JavaScript“ odstráni všetok JavaScript z webovej stránky. Táto možnosť je určená na zakázanie logiky na strane klienta. „Removetags“ odstráni kontajnery externých zdrojov, ako je odstránenie JavaScriptu, je to tiež určené na deaktiváciu logiky na strane klienta.

Možnosť „Previesť odkazy HTTPS na HTTP“ automaticky zníži úroveň šifrovaných odkazov na odkazy v obyčajnom texte. To môže byť užitočné pri testovaní útokov typu SSLStrip a overovaní, či webová lokalita aktualizuje požiadavky na čistý text. „Odstrániť zabezpečený príznak zo súborov cookie“ automaticky odstráni zabezpečený príznak zo súborov cookie, ktorý bráni ich prenosu prostredníctvom spojení s obyčajným textom. To by mohlo pomôcť pri úniku autentifikačných tokenov a iných citlivých cookies pri vykonávaní útokov typu SSLStrip.

Sekcia „Priradiť a nahradiť“, hneď pod sekciou „Úprava odpovede“, vám umožňuje nakonfigurovať vlastné pravidlá pre požiadavky aj odpovede pomocou regulárneho výrazu. Môžete nahradiť hlavičky alebo telo požiadavky aj odpovede, názvy a hodnoty parametrov a prvý riadok požiadavky.

Vlastné automatické náhrady môžete nakonfigurovať pomocou sekcie „Priradiť a nahradiť“ na podkarte „Možnosti“ na karte „Proxy“.