Collaborator sozlamalari
Burp Collaborator — bu Burp tashqi xizmat bilan o'zaro aloqa (external service interaction) va out-of-band XSS kabi ko'plab turdagi zaifliklarni aniqlashda foydalanishi mumkin bo'lgan tashqi xizmat.
Eslatma
Burp Collaborator qanday ishlashi haqida batafsil ma'lumot olish uchun Burp Collaborator bo'limiga qarang.
Burp Collaborator server sozlamalari sizga qaysi Collaborator serveridan foydalanmoqchi ekaningizni tanlash imkonini beradi:
- Use the default Collaborator server - PortSwigger taqdim etadigan ommaviy, umumiy Collaborator serveridan foydalanish uchun bu sozlamani tanlang. PortSwigger bu serverning mavjudligi yoki unumdorligi bo'yicha hech qanday kafolat bermaydi. Agar ommaviy Collaborator serverida xizmat uzilishi yoki sifat pasayishi yuz bersa, Burp ichidagi Collaborator bilan bog'liq funksionallikka ta'sir qilishi mumkin.
- Don't use Burp Collaborator - Burp'ning Collaborator bilan bog'liq barcha imkoniyatlarini o'chirish uchun bu sozlamani tanlang.
- Use a private Collaborator server - Collaborator serverining o'zingizga tegishli nusxasidan foydalanish uchun bu sozlamani tanlang. Bu jarayon haqida batafsil ma'lumot olish uchun Xususiy Collaborator serverini joylashtirish bo'limiga qarang.
Eslatma
Biz WAF qora ro'yxatiga tushish va natijada yuzaga keladigan noto'g'ri salbiy (false negative) natijalar ehtimolini kamaytirish uchun ommaviy Collaborator serveriga vaqti-vaqti bilan yangi domen nomlarini qo'shib boramiz. Standart holatda Burp Collaborator sizdagi Burp Suite Professional versiyasi chiqarilgan paytda amalda bo'lgan domendan foydalanadi. Ayni paytda amalda bo'lgan domenlar: *.burpcollaborator.net yoki *.oastify.com. Kompyuteringiz va maqsadli ilova bu ikkala domenga 80 va 443-portlar orqali kira olishiga ishonch hosil qiling.
Agar xususiy Collaborator serveridan foydalanishni tanlasangiz, uning joylashuvini sozlashingiz kerak. Siz quyidagi ma'lumotlarni taqdim etishingiz mumkin:
- Server location - Bu serveringizning domen nomi yoki IP manzili. Agar siz IP manzilni ko'rsatsangiz, DNS ruxsatiga tayanadigan Collaborator bilan bog'liq har qanday funksionallik mavjud bo'lmaydi. Batafsil ma'lumot uchun Domen va DNS yozuvlarini sozlash bo'limiga qarang.
- Polling location (optional) - Xususiy Collaborator serveringiz so'rov (polling) murojaatlariga qayerda javob berishini ko'rsatishingiz mumkin. Zarur bo'lsa, Collaborator serverlarini o'zaro aloqalarni qabul qilish va polling so'rovlariga javob berish uchun turli tarmoq interfeyslarida ishlaydigan qilib sozlash mumkin. Polling joylashuvini host nomi yoki IP manzil ko'rinishida, ikki nuqta bilan ajratilgan ixtiyoriy port raqami bilan birga ko'rsatishingiz mumkin. Masalan, 10.20.30.40:8008.
Eslatma
Agar siz Collaborator serveringizni nostandart portlardan foydalanadigan qilib sozlagan bo'lsangiz, o'sha portlarni bu yerda ko'rsatishingiz shart. Nostandart portlarni sozlash haqida batafsil ma'lumot olish uchun Portlar va firewall'ni sozlash bo'limiga qarang.
Shuningdek, quyidagi variantlar ham mavjud:
- Poll over unencrypted HTTP - Standart holatda Burp Collaborator serverini HTTPS orqali so'rovlaydi va man-in-the-middle hujumlarining oldini olish uchun TLS ishonchini talab qiladi. Agar sizdagi Burp nusxasi bevosita HTTPS orqali so'rov yubora olmasa (masalan, tarmoq konfiguratsiyangiz tufayli), shifrlanmagan HTTP orqali so'rov yuborishni tanlashingiz mumkin.
- Run health check - Sozlangan Collaborator serveringizning tezkor sog'liq tekshiruvini o'tkazish uchun bu sozlamani tanlang. Burp turli tarmoq xizmatlaridan foydalangan holda server bilan o'zaro aloqa qilish mumkinligini hamda bu aloqalar tafsilotlarini polling orqali olib kelish mumkinligini tekshiradi. Shu sinovlarga asoslanib, Burp Collaborator imkoniyatlaridan foydalana olish ehtimoli qanchalik yuqori ekanini aniqlashingiz mumkin.
Standart holatda Burp Collaborator server sozlamalari foydalanuvchi sozlamalari hisoblanadi va kompyuteringizdagi barcha Burp o'rnatmalariga ta'sir qiladi.
Sozlamalarni joriy loyihaga xos qilish uchun Override options for this project only tugmasini On holatiga o'tkazing. Mavjud loyiha fayli sozlamalariga ta'sir qilmaydi, chunki ularda bu sozlama standart holatda avtomatik ravishda yoqilgan bo'ladi.