Burp Suite je zmogljiv pregledovalnik ranljivosti, ki ga je razvil Portswigger in se uporablja za testiranje varnosti spletnih aplikacij. Burp Suite, ki prihaja z distribucijami, kot sta Kali in Parrot, ima orodje, imenovano Intruder, ki vam omogoča izvajanje avtomatiziranih posebnih napadov na spletne aplikacije za etično hekanje. Intruder je prilagodljivo orodje, ki ga je mogoče konfigurirati, kar pomeni, da ga lahko uporabite za avtomatizacijo katere koli naloge, ki se pojavi pri testiranju aplikacij.
Torej, kako dejansko deluje?
Uporaba tarče v Intruderju
Target, ki ga lahko vidite, ko pridete na zavihek Intruder v Burp Suite, vsebuje informacije o ciljnem spletnem mestu ali aplikaciji, ki jo želite preizkusiti. Podatke o gostitelju in številko vrat lahko vnesete kot cilj v razdelku »Pozicije tovora«.
Uporaba zavihka Položaji v Intruderju
Na zavihku Položaji si lahko ogledate vrste napadov, predlogo zahteve in informacije o parametrih, na katere želite ciljati. Tukaj so vrste napadov, ki jih lahko preizkusite z Burp Suite.
Ostrostrelec: Ta možnost uporablja samo en parameter. V tem primeru to ne vpliva na neciljane parametre.
udarni oven: Ta možnost uporablja en vektor napada za vse ciljne parametre. To pomeni, da če so v predlogi zahteve trije ciljni parametri, napade vse tri z uporabo istih vektorjev napada.
Vile: Pri tej možnosti je mogoče uporabiti več kot en vektor napada za vse ciljne parametre. Če menite, da so v predlogi zahteve trije ciljni parametri, bi bila prva zahteva izbira in umestitev prvega elementa prvega seznama za prvi parameter; prvi element drugega seznama za drugi parameter; in prvi element tretjega seznama za tretji parameter. V drugi zahtevi bodo elementi, ki bodo izbrani, drugi element vsakega seznama. To vrsto napada lahko uporabite pri postavljanju različnih vektorjev na več ciljnih parametrov.
Kasetna bomba: Lahko zaposliš več kot en vektor napada za vse ciljne parametre, ki uporabljajo to možnost. Razlika med njo in možnostjo Pitchfork je v tem, da vam kasetna bomba omogoča prilagajanje vseh porazdelitev kombinacij. Ne sprejema zaporednih izbir kot Pitchfork. Preizkušanje vseh možnih kombinacij ciljnih parametrov lahko povzroči veliko obremenitev zahtev. Zato morate pri uporabi te možnosti biti previdni.
Na zaslonu s položaji je nekaj drugih uporabnih gumbov. Izbrani parameter lahko odstranite z jasno gumb na desni. Če želite ciljati na novega, lahko uporabite Dodaj tudi gumb na desni. Uporabi Avto gumb za samodejno izbiro vseh polj ali vrnitev v prvotno stanje.
Kaj so zavihki Payloads v Burp Suite?
Pomislite na sezname koristnih vsebin kot na besedne sezname. Lahko uporabite Tovori za nastavitev enega ali več seznamov tovora. Število nizov tovora se razlikuje glede na vrsto napada.
Nabor tovora lahko definirate na enega ali več načinov. Če imate močan seznam besed, ga lahko uvozite tako, da izberete obremenitev v razdelku »Možnosti tovora«.
Za ciljne parametre lahko pripravite tudi ločene nize tovora. Na primer, za prvi ciljni parameter lahko uporabite samo številske izraze, medtem ko lahko za drugi ciljni parameter uporabite kompleksne izraze.
Obdelava tovora
Nabore tovora, konfigurirane prek, lahko še razširite Obdelava tovora s pravili in kodiranjem. Na primer, lahko dodate predpono vsem koristnim obremenitvam, jih kodirate in dekodirate ali preskočite izraze, ki posredujejo določene regularne izraze.
Kodiranje koristnega tovora
z Kodiranje koristnega tovora, lahko v parametrih med prenosom zahtev HTTP do cilja brez težav določite, kateri znaki naj bodo URL kodirani. Kodiranje URL-ja je pretvorjena različica informacij, ki bi jo lahko zamenjali z naslovom. Burp Suite pošlje URL za kodiranje ustreznikov znakov, kot so ampersandi (&), zvezdice (*) ter podpičja in dvopičja (oziroma,; in :) v privzetih nastavitvah.
Kaj je zavihek Možnosti v Intruderju?
The Opcije zavihek ima možnosti za glave zahtev, rezultate napadov, ujemanja grep in preusmeritve. Te lahko spremenite v vmesniku Intruder pred začetkom skeniranja.
Glave zahtev
Glave zahtev lahko nastavite z nastavitvami v polju "Glave zahtev". Tukaj je pomembno upoštevati glavo Content-Length: ciljni naslov lahko vrne napako, če vsebina ni pravilno posodobljena.
Če informacije Set-Connection niso uporabljene, lahko povezava ostane odprta, zato se po aktiviranju možnosti Set-Connection povezava prekine. Vendar pa lahko transakcije izvajate nekoliko hitreje.
Obravnava napak
Nastavitve v razdelku »Obravnava napak« nadzirajo mehanizem, ki se uporablja za generiranje zahtev HTTP pri skeniranju vsiljivca. Tukaj lahko nastavite parametre, kot so hitrost, resnost in trajanje napada.
Rezultati napada
V razdelku »Rezultati napadov« lahko nastavite, katere informacije bodo v rezultatih skeniranja. Te konfiguracijske nastavitve imajo naslednje možnosti:
- Zahteve/odgovori trgovine: Ti dve možnosti sta namenjeni določanju, ali naj shrani vsebino zahtev in odgovorov pregledov.
- Naredi nespremenjeno osnovno zahtevo: To vsebuje osnovne vrednosti ciljnih parametrov kot tudi konfigurirane zahteve za skeniranje, tako da lahko primerjate odzive skeniranja.
- Uporabite način zavrnitve storitve: S to možnostjo lahko naredite običajno zahtevo za skeniranje. Vendar se lahko nenadoma izklopi, preden se strežnik odzove, ker ta funkcija povzroča utrujenost ciljnega strežnika. Zato ga morate uporabljati previdno.
- Shrani polno koristno obremenitev: To omogoča Burp Suite, da shrani natančne vrednosti koristne obremenitve za vsak rezultat. Če izberete to, bo Intruder zavzel dodaten prostor.
Grep - ujemanje, izvleček, obremenitve
Nastavitve v razdelkih »Grep—Match«, »Grep—Extract« in »Grep—Payloads« lahko uporabite za označevanje rezultatov, ki vsebujejo besedne zveze, podane v odgovorih skeniranja. Burp Suite bo dodal potrditveni stolpec za vsak element, ki ga konfigurirate, ki označuje, ali je element najden v odgovoru. na primer pri napadih z geslom, boste morda videli stavke, kot sta "nepravilno geslo" in "uspešna prijava". Funkcije v razdelku Grep-Match vključujejo:
- Vrsta ujemanja: To označuje, ali so definirani izrazi regularni izraz (regularni izraz) ali besedilni izraz.
- Ujemanje, ki razlikuje med velikimi in malimi črkami: To določa, ali naj bo razlika med velikimi in malimi črkami ali ne.
- Izključi glavo HTTP: Navedite ali vrstice glave so iz te operacije izvzeti.
Zakaj je Burp Suite tako pomemben?
Etični hekerji pogosto uporabljajo Burp Suite za operacije nagrad za napake. Podobno se lahko varnostni raziskovalci, ki delajo v podjetjih, in preizkuševalci penetracije, ki želijo izvajati varnostne teste internetnih aplikacij, zanesejo tudi na Burp Suite. Seveda obstaja veliko drugih odličnih orodij, ki jih lahko uporabite za testiranje penetracije; če obvladate druga orodja za pentesting poleg Burp Suite, boste izstopali.