Jak używać narzędzia Intruder Burp Suite do aplikacji internetowych Pentest

Burp Suite to potężny skaner podatności opracowany przez Portswigger, służący do testowania bezpieczeństwa aplikacji internetowych. Burp Suite, który jest dostarczany z dystrybucjami takimi jak Kali i Parrot, ma narzędzie o nazwie Intruder, które umożliwia przeprowadzanie zautomatyzowanych specjalnych ataków na aplikacje internetowe w celu etycznego hakowania. Intruder to elastyczne i konfigurowalne narzędzie, co oznacza, że ​​można go używać do automatyzacji dowolnego zadania, które pojawia się podczas testowania aplikacji.

Jak to właściwie działa?

Używanie celu w intruzie

Cel, który możesz zobaczyć po przejściu do zakładki Intruz w Burp Suite, zawiera informacje o docelowej stronie internetowej lub aplikacji, którą chcesz przetestować. Możesz wprowadzić informacje o hoście i numer portu jako cel w sekcji „Pozycje ładunku”.

Korzystanie z zakładki Pozycje w Intruderze

W zakładce Pozycje możesz zobaczyć typy ataków, szablon żądania i informacje o parametrach, które mają być celem. Oto rodzaje ataków, które możesz przetestować za pomocą pakietu Burp Suite.

Snajper: Ta opcja używa tylko jednego parametru. W tym przypadku nie ma to wpływu na parametry niedocelowe.

Taran: ta opcja wykorzystuje jeden wektor ataku dla wszystkich docelowych parametrów. Oznacza to, że jeśli w szablonie żądania znajdują się trzy docelowe parametry, atakuje wszystkie trzy przy użyciu tych samych wektorów ataku.

Pitchfork: W tej opcji możliwe jest użycie więcej niż jednego wektora ataku dla wszystkich docelowych parametrów. Jeśli uważasz, że w szablonie żądania są trzy docelowe parametry, pierwsze żądanie polegałoby na wybraniu i umieszczeniu pierwszego elementu pierwszej listy dla pierwszego parametru; pierwszy element drugiej listy dla drugiego parametru; oraz pierwszy element trzeciej listy dla trzeciego parametru. W drugim żądaniu elementy do wybrania będą drugim elementem każdej listy. Możesz użyć tego typu ataku, umieszczając różne wektory na wielu parametrach celu.

Bomba kasetowa: Korzystając z tej opcji, możesz użyć więcej niż jednego wektora ataku dla wszystkich docelowych parametrów. Różnica między nią a opcją Pitchfork polega na tym, że bomba kasetowa pozwala dostosować wszystkie rozkłady kombinacji. Nie dokonuje kolejnych wyborów, jak robi to Pitchfork. Wypróbowanie każdej możliwej kombinacji parametrów docelowych może spowodować ogromne obciążenie żądaniami. W rezultacie należy zachować ostrożność podczas korzystania z tej opcji.

Na ekranie Pozycje znajduje się kilka innych przydatnych przycisków. Możesz usunąć wybrany parametr przyciskiem Wyczyść po prawej stronie. Jeśli chcesz kierować reklamy na nowy, możesz również użyć przycisku Dodaj po prawej stronie. Użyj przycisku Auto , aby automatycznie wybrać wszystkie pola lub powrócić do ich pierwotnego stanu.

Co to są zakładki ładunków w pakiecie Burp Suite?

Pomyśl o listach ładunku, takich jak listy słów. Możesz użyć karty Ładunki , aby skonfigurować jedną lub więcej list ładunków. Liczba zestawów ładunków różni się w zależności od rodzaju ataku.

Zestaw danych można zdefiniować na jeden lub więcej sposobów. Jeśli masz silną listę słów, możesz ją zaimportować, wybierając przycisk Załaduj w sekcji „Opcje ładunku”.

Możesz także przygotować osobne zestawy ładunków dla docelowych parametrów. Na przykład dla pierwszego parametru docelowego można użyć tylko wyrażeń liczbowych, a dla drugiego parametru docelowego można użyć wyrażeń złożonych.

Przetwarzanie ładunku

Zestawy ładunku skonfigurowane za pomocą przetwarzania ładunku można dodatkowo rozszerzyć o reguły i kodowania. Na przykład możesz poprzedzić wszystkie ładunki, kodować i dekodować lub pomijać wyrażenia, które przekazują określone wyrażenia regularne.

Kodowanie ładunku

Dzięki Payload Encoding możesz bez problemu określić, które znaki mają być kodowane w adresie URL podczas przesyłania żądań HTTP do miejsca docelowego. Kodowanie adresu URL to przekonwertowana wersja informacji, która może zostać pomylona z adresem. Pakiet Burp Suite wysyła adres URL w celu zakodowania odpowiedników znaków, takich jak ampersand (&), gwiazdki (*) oraz średniki i dwukropki (odpowiednio ; i 🙂 w ustawieniach domyślnych.

Co to jest zakładka Opcje w Intruderze?

Karta Opcje zawiera opcje dotyczące nagłówków żądań, wyników ataków, dopasowań grep i przekierowań. Możesz je zmienić w interfejsie Intruza przed rozpoczęciem skanowania.

Nagłówki żądań

Możesz ustawić nagłówki żądań, korzystając z ustawień w polu „Nagłówki żądań”. Ważną rzeczą, na którą należy zwrócić uwagę, jest nagłówek Content-Length: adres docelowy może zwrócić błąd, jeśli treść nie zostanie odpowiednio zaktualizowana.

Jeśli informacja o Set-Connection nie zostanie wykorzystana, połączenie może pozostać otwarte, dlatego po aktywowaniu opcji Set-Connection połączenie zostanie przerwane. Możesz jednak wykonywać transakcje nieco szybciej.

Obsługa błędów

Ustawienia w sekcji „Obsługa błędów” sterują silnikiem używanym do generowania żądań HTTP w skanowaniu w poszukiwaniu włamań. Tutaj możesz ustawić parametry, takie jak szybkość, dotkliwość i czas trwania ataku.

Wyniki ataku

Sekcja „Wyniki ataku” pozwala ustawić, jakie informacje znajdą się w wynikach skanowania. Te ustawienia konfiguracji mają następujące opcje:

• Przechowuj żądania/odpowiedzi: Te dwie opcje służą do określania, czy ma zapisywać treść żądań i odpowiedzi ze skanów.
• Utwórz niezmodyfikowane żądanie linii bazowej: zawiera podstawowe wartości docelowych parametrów, a także skonfigurowane żądania skanowania, dzięki czemu można porównać odpowiedzi skanowania.
• Użyj trybu odmowy usługi: Dzięki tej opcji możesz wykonać normalne żądanie skanowania. Jednak może się nagle wyłączyć, zanim serwer otrzyma odpowiedź, ponieważ ta funkcja powoduje zmęczenie serwera docelowego. Dlatego trzeba go używać ostrożnie.
• Przechowuj pełne ładunki: Pozwala to Burp Suite zapisywać dokładne wartości ładunków dla każdego wyniku. Jeśli wybierzesz tę opcję, Intruder zajmie dodatkowe miejsce.

Grep — dopasowywanie, wyodrębnianie, ładowanie

Możesz użyć ustawień w sekcjach „Grep—Match”, „Grep—Extract” i „Grep—Payloads”, aby zaznaczyć wyniki zawierające frazy określone w odpowiedziach na skanowanie. Burp Suite doda kolumnę potwierdzenia dla każdego skonfigurowanego elementu, wskazując, czy element został znaleziony w odpowiedzi. Na przykład w przypadku ataków na hasła można spotkać zdania takie jak „niepoprawne hasło” i „udane logowanie”. Funkcje w sekcji Grep-Match obejmują:

• Typ dopasowania: wskazuje, czy zdefiniowane wyrażenia są wyrażeniami regularnymi (wyrażeniami regularnymi) czy wyrażeniami tekstowymi.
• Dopasowanie z uwzględnieniem wielkości liter: Określa, czy wielkość liter ma być rozróżniana, czy nie.
• Wyklucz nagłówek HTTP: Określ, czy wiersze nagłówka są wyłączone z tej operacji.

Dlaczego Burp Suite jest tak ważny?

Etyczni hakerzy często używają Burp Suite do operacji związanych z nagrodami za błędy. Podobnie badacze bezpieczeństwa pracujący w firmach korporacyjnych i testerzy penetracyjni, którzy chcą przeprowadzać testy bezpieczeństwa aplikacji internetowych, również mogą polegać na Burp Suite. Oczywiście istnieje wiele innych świetnych narzędzi, których można użyć do testów penetracyjnych; opanowanie innych narzędzi do pentestowania oprócz pakietu Burp Suite sprawi, że będziesz się wyróżniać.