Burp Proxy bilan HTTP so'rovlarni o'zgartirish

Ushbu qo'llanmada siz Burp Proxy'da ushlab qolingan so'rovlarni qanday o'zgartirishni o'rganasiz. Bu so'rovlarni veb-sayt kutmagan tarzda o'zgartirib, uning qanday javob berishini ko'rish imkonini beradi. Ataylab zaif qilib yaratilgan veb-saytlarimiz — "lablar"dan birini ishlatib, bu haqiqiy zaifliklarni aniqlash va ulardan foydalanishga qanday yordam berishini ko'rasiz.

1-qadam: Burp brauzerida zaif veb-saytga kiring

Burp'da Proxy > Intercept tabiga o'ting va ushlab qolish o'chirilganiga ishonch hosil qiling.

Burp brauzerini ishga tushiring va undan quyidagi URL manziliga o'tish uchun foydalaning:

Sahifa yuklanganda Access the lab tugmasini bosing. So'ralsa, portswigger.net hisobingizga kiring. Bir necha soniyadan so'ng soxta onlayn do'kon saytining shaxsiy nusxasini ko'rasiz.

2-qadam: Do'kon hisobingizga kiring

Do'kon saytida My account bandini bosing va quyidagi hisob ma'lumotlari bilan tizimga kiring:

Foydalanuvchi nomi:wiener

Parol:peter

E'tibor bering, sizda atigi $100 do'kon krediti bor.

3-qadam: Sotib olish uchun biror narsa toping

Bosh sahifaga qaytish uchun Home bandini bosing. Lightweight "l33t" leather jacket mahsulotining tafsilotlarini ko'rish variantini tanlang.

4-qadam: Savatga qo'shish funksiyasini o'rganing

Burp'da Proxy > Intercept tabiga o'ting va ushlab qolishni yoqing. Brauzerda charm kurtkani savatingizga qo'shing va natijada yuboriladigan POST /cart so'rovini ushlab qoling.

Ushlab qolingan so'rovni o'rganing va tanasida price deb nomlangan parametr borligiga e'tibor bering — u mahsulot narxiga sentlarda mos keladi.

5-qadam: So'rovni o'zgartiring

price parametrining qiymatini 1 ga o'zgartiring va o'zgartirilgan so'rovni boshqa ushlab qolingan so'rovlar bilan birga serverga yuborish uchun Forward > Forward all bandini bosing.

Keyingi so'rovlar Burp Proxy orqali to'xtatilmasdan o'tishi uchun ushlab qolishni yana o'chirib qo'ying.

6-qadam: Zaiflikdan foydalaning

Burp brauzerida savatingizni ko'rish uchun yuqori o'ng burchakdagi savat belgisini bosing. E'tibor bering, kurtka atigi bir sentga qo'shilgan.

Kurtkani nihoyatda arzon narxda sotib olish uchun Place order tugmasini bosing.

Tabriklaymiz, siz birinchi Web Security Academy labingizni ham yechdingiz! Shuningdek, Burp Proxy yordamida HTTP trafigini ushlab qolish, ko'rib chiqish va o'zgartirishni o'rgandingiz.