Ako používať Burp Suite Intruder na testovanie potenciálne zraniteľných webových polí

Pri testovaní webových stránok na bezpečnostné problémy je jednou z hlavných vecí, pre ktoré musíte mať oči otvorené, interakcie používateľov. Interakcia používateľa je akákoľvek akcia, ktorá zahŕňa spracovanie webovej stránky formou akcie používateľa. Môže to byť buď v JavaScripte v prehliadači používateľa alebo v interakciách so serverom, ako je napríklad formulár PHP. Ďalším zdrojom problémov sú premenné, ktoré nemusia priamo vyplývať zo vstupu používateľa a namiesto toho riadia iný aspekt stránky.

Intruder je navrhnutý ako nástroj na automatizáciu testovania akéhokoľvek potenciálneho zdroja zraniteľnosti. Rovnako ako v prípade iných vstavaných nástrojov, ako je napríklad Repeater, môžete požiadavku, ktorú chcete upraviť, poslať Intruderovi cez ponuku kliknutím pravým tlačidlom myši. Odoslané požiadavky sa potom zobrazia na karte Votrelec.

Poznámka: Používanie Burp Suite Intruder na webovej stránke, na ktorú nemáte povolenie, môže byť podľa rôznych zákonov o zneužívaní počítačov a hackerských útokoch trestným činom. Pred vyskúšaním sa uistite, že máte povolenie od vlastníka webovej lokality.

Ako používať Intruder

Vo všeobecnosti nemusíte konfigurovať podzáložku „Cieľ“ na karte Votrelec. Ak odošlete požiadavku, automaticky vyplní hodnoty, ktoré potrebujete na odoslanie požiadavky na správny server. Bolo by to naozaj užitočné len vtedy, ak chcete buď manuálne vytvoriť celú požiadavku, alebo ak chcete skúsiť vypnúť HTTPS.

Záložka Cieľ sa používa na konfiguráciu hostiteľa, na ktorý sa útočí.

Podzáložka „Pozície“ sa používa na výber miesta v požiadavke, do ktorej chcete vložiť užitočné zaťaženie. Burp automaticky identifikuje a zvýrazní toľko premenných, koľko je len možné, ale pravdepodobne budete chcieť zúžiť útok iba na jeden alebo dva body vloženia naraz. Ak chcete vymazať vybrané body vloženia, kliknite na „Vymazať §“ na pravej strane. Ak chcete pridať body vloženia, zvýraznite oblasť, ktorú chcete zmeniť, a potom kliknite na „Pridať §“.

Rozbaľovacie pole typu útoku sa používa na určenie spôsobu doručenia užitočného zaťaženia. „Sniper“ používa jeden zoznam užitočného zaťaženia a zacieľuje na každý bod vloženia jeden po druhom. „Battering ram“ používa jeden zoznam užitočného zaťaženia, ale vkladá užitočné zaťaženie do všetkých bodov vloženia naraz. Pitchfork používa viacero užitočných zaťažení, každý vloží do svojho príslušne očíslovaného vkladacieho bodu, ale vždy používa iba rovnaký očíslovaný záznam z každého zoznamu. „Cluster bomb“ používa podobnú stratégiu ako vidly, no skúša každú kombináciu

Karta Pozície sa používa na výber miesta, kam sa vloží užitočné zaťaženie.

Podkarta „Užitočné zaťaženie“ sa používa na konfiguráciu požadovaných údajov. Typ užitočného zaťaženia sa používa na konfiguráciu spôsobu zadávania užitočných zaťažení. Sekcia nižšie sa líši v závislosti od typu užitočného zaťaženia, ale vždy sa používa na špecifikáciu hodnôt zoznamu užitočného zaťaženia. Spracovanie užitočného zaťaženia vám umožňuje upravovať užitočné zaťaženia pri ich odosielaní. V predvolenom nastavení adresa URL votrelca kóduje množstvo špeciálnych znakov, môžete to vypnúť zrušením začiarknutia políčka v spodnej časti stránky.

Karta Užitočné zaťaženia sa používa na konfiguráciu užitočných zaťažení, ktoré sa majú vložiť do bodov vloženia.

Podkarta „Možnosti“ vám umožňuje nakonfigurovať množstvo nastavení na pozadí skenera. Môžete pridať systémy na porovnávanie výsledkov založené na grep, ktoré vám pomôžu identifikovať kľúčové informácie zo zmysluplných výsledkov. V predvolenom nastavení Intruder nesleduje presmerovania, to je možné povoliť v spodnej časti podkarty.

Karta Možnosti vám umožňuje konfigurovať niektoré ďalšie možnosti pozadia, ale vo všeobecnosti ju môžete nechať osamote.

Ak chcete spustiť útok, kliknite na „Začať útok“ v pravom hornom rohu ktorejkoľvek z podzáložiek „Narušiteľ“, útok sa spustí v novom okne. Pre bezplatnú edíciu „Community“ Burp je Intruder výrazne obmedzená, zatiaľ čo verzia Professional beží plnou rýchlosťou.