Sessiyalar sozlamalari

Sessions sozlamalari Burp Suite'ning sessiyalarni boshqarish funksionalligini sozlash imkonini beradi. Siz quyidagilarni sozlashingiz mumkin:

• Sessiyalarni boshqarish qoidalari.
• Cookie jar.
• Makroslar.

Sessiyalarni boshqarish haqida umumiy ma'lumot

Veb-ilovalarni test qilishda sessiyalarni boshqarish va ilova holati bilan bog'liq qiyinchiliklarga duch kelishingiz mumkin. Masalan:

• Ilova test sessiyasini himoya maqsadida yoki boshqa sabablarga ko'ra tugatishi mumkin. Keyingi so'rovlarni yuborishdan oldin sessiyalarni tiklash kerak bo'ladi.
• Ba'zi funksiyalar so'rovni soxtalashtirish hujumlariga to'sqinlik qilish uchun har bir so'rov ichida o'zgaruvchan tokenlarni talab qilishi mumkin.
• Ba'zi funksiyalar ilovani siz test qilishingiz kerak bo'lgan so'rovni qabul qiladigan holatga keltirish uchun bir qator ikkilamchi so'rovlarni yuborishni talab qilishi mumkin.

Burp'ning sessiyalarni boshqarish funksionalligi tizimni sessiya bilan bog'liq qiyinchiliklarni fon rejimida hal qilishga sozlash imkonini beradi va bu sizga testni uzluksiz davom ettirishga yordam beradi.

Sessiyalarni boshqarish qoidalari

Burp'ning sessiyalarni boshqarish qoidalari Burp maqsadning sessiyalarni boshqarish mexanizmi va unga aloqador funksionallik bilan qanday ishlashi ustidan nozik nazorat beradi.

Har bir qoida ikki qismdan iborat:

• Qoida qo'llaniladigan vositalar, URL'lar va parametrlarni bildiruvchi scope.
• Qoida so'rovga qo'llanilganda bajariladigan actions.

Burp har safar chiquvchi so'rov yuborganda, belgilangan qoidalardan qaysi biri so'rovga qo'llanilishi kerakligini aniqlaydi va so'ngra barcha tegishli amallarni tartib bilan bajaradi.

Bir nechta qoida yaratish orqali Burp turli ilovalar va funksiyalarga qo'llaydigan xatti-harakatlar ierarxiyasini belgilashingiz mumkin.

Masalan, muayyan test uchun quyidagi qoidalarni belgilashingiz mumkin edi:

• Barcha so'rovlar uchun Burp'ning cookie jar'idan cookie'larni qo'shish.
• Muayyan domenga yuborilgan so'rovlar uchun o'sha ilova bilan joriy sessiya hali ham faolligini tekshirish. Agar sessiya faol bo'lmasa, ilovaga qayta kirish uchun makrosni ishga tushirish va cookie jar'ni olingan sessiya tokeni bilan yangilash.
• __csrftoken parametrini o'z ichiga olgan muayyan URL'ga yuborilgan so'rovlar uchun haqiqiy __csrftoken qiymatini olish uchun makrosni ishga tushirish va so'rov yuborishda shu qiymatdan foydalanish.

Sessiyalarni boshqarish tracer'i

Sessiyalarni boshqarish tracer'i sessiyalarni boshqarish konfiguratsiyangizdagi nosozliklarni bartaraf etishda yordam beradi. Tracer'ni ko'rish uchun Open sessions tracer tugmasini bosing.

Tracer sessiyalarni boshqarish funksionalligi ishlov bergan har bir so'rov ro'yxatini ko'rsatadi (ya'ni, kamida bitta sessiya qoidasi qo'llanilgan so'rovlar). Ishlov berilgan har bir so'rov uchun tracer bajarilgan qoidalar va amallar ketma-ketligini ko'rsatadi. Shuningdek, u ketma-ketlikning har bir bosqichida joriy so'rovga kiritilgan o'zgarishlarni ko'rsatadi. Bu ma'lumot joriy qoida konfiguratsiyangiz kerakli natijalarga erishayotganini ko'rishga yordam beradi.

Burp vositalaridagi sessiyalarni boshqarish qoidalari

Burp'ning sessiyalarni boshqarish qoidalari Burp'ning boshqa funksionalligi bilan o'zaro ishlaydi:

• Scanner yuboradigan so'rovlarni Burp'ning cookie jar'idagi cookie'lar bilan yangilaydigan standart sessiyalarni boshqarish qoidasi mavjud. Bu qoida Scanner crawling va crawl asosidagi audit davomida o'z sessiyalarini o'zi boshqarayotganda qo'llanilmaydi. Zarur bo'lsa, bu qoidani o'chirib qo'yishingiz mumkin.
• Agar sessiyalarni boshqarish qoidalari so'rov yuborilishidan oldin uni o'zgartirsa (masalan, cookie yoki boshqa parametrni yangilash uchun), Intruder va Repeater yakuniy, yangilangan so'rovni ko'rsatadi. Biroq, xabar berilgan Scanner muammolari ichida ko'rsatilgan so'rovlar asl so'rov sifatida ko'rsatiladi. Bu sizga o'zgartirilgan so'rovni asosiy so'rov bilan taqqoslash imkonini beradi. Skanerlash muammosi uchun sessiya boshqaruvchisi o'zgartirgan yakuniy so'rovni ko'rish uchun so'rovni Burp Repeater'ga yuboring va u yerdan jo'nating. E'tibor bering, bu jarayon ishlashi uchun Repeater va Scanner uchun bir xil sessiyalarni boshqarish qoidalari bo'lishi kerak.
• Scanner yoki Intruder sessiyani boshqarish amali ta'sir qiladigan cookie yoki parametrni o'zgartiradigan so'rov yuborsa, sessiyani boshqarish amali o'sha so'rovga qo'llanilmaydi. Bu bajarilayotgan testga aralashuvning oldini oladi. Masalan, faraz qiling, siz so'rovdagi barcha parametrlarni fuzzing qilish uchun Intruder'dan foydalanyapsiz va o'sha so'rovdagi sessid cookie'sini yangilash uchun sessiyani boshqarish qoidasini sozlagansiz. Bu holda Intruder boshqa parametrlarni fuzzing qilayotganda sessid cookie'si yangilanadi. Intruder sessid cookie'sining o'zini fuzzing qilayotganda esa sessiyani boshqarish qoidasi cookie'ni yangilamaydi va Burp sessid qiymati sifatida Intruder payload satrini yuboradi.

Session handling rules sozlamalari loyiha sozlamalaridir. Ular faqat joriy loyihaga taalluqli.

Cookie jar

Burp'ning cookie jar'i siz tashrif buyuradigan veb-saytlar bergan barcha cookie'larni saqlaydi. Cookie jar Burp'ning barcha vositalari o'rtasida umumiy hisoblanadi.

Sessiyalarni boshqarish qoidalari va makroslar chiquvchi so'rovlarni cookie'lar bilan avtomatik yangilash uchun cookie jar'dan foydalanishi mumkin.

Standart holatda cookie jar Proxy'dan kelgan trafik asosida yangilanadi. Biroq, siz cookie'larni yangilash uchun cookie jar'ni quyidagi vositalarning istalganini kuzatishga sozlashingiz mumkin:

• Proxy.
• Intruder.
• Scanner.
• Sequencer.
• Repeater.
• Kengaytmalar.

Proxy holatida Burp brauzerdan kelayotgan so'rovlarni ham tekshiradi. Bu ilova sessiyangizni boshqarish uchun zarur bo'lgan doimiy cookie'ni Burp brauzerida o'rnatgan hollarda foydalidir. Burp'ning cookie jar'ini Proxy orqali o'tgan so'rovlar asosida yangilashi shuni anglatadiki, ilova tashrifingiz davomida cookie qiymatini yangilamasa ham, barcha zarur cookie'lar cookie jar'ga qo'shiladi.

Cookie jar cookie'larning domen va yo'l qamrovini hurmat qiladi.

Cookie jar'ni boshqarish

Cookie jar mazmunini boshqarish uchun Open cookie jar tugmasini bosing. Cookie'larni qo'lda tahrirlashingiz, jar'dan cookie'larni olib tashlashingiz yoki jar'ni butunlay bo'shatishingiz mumkin.

Cookie jar sozlamalari loyiha sozlamalaridir. Ular faqat joriy loyihaga taalluqli.

Makroslar

Macros sozlamalari Burp test davomida foydalanishi mumkin bo'lgan makroslarni yaratish va boshqarish imkonini beradi.

Makros - bu bir yoki bir nechta so'rovning oldindan belgilangan ketma-ketligi. Makroslardan sessiyalarni boshqarish qoidalari ichida turli vazifalarni bajarish uchun foydalanishingiz mumkin, masalan:

• Joriy sessiya hali ham amal qilishini tekshirish uchun ilovaning biror sahifasini (masalan, foydalanuvchining bosh sahifasini) yuklab olish.
• Yangi haqiqiy sessiya olish uchun tizimga kirishni bajarish.
• Boshqa so'rovda parametr sifatida ishlatish uchun token yoki nonce olish.
• Ko'p bosqichli jarayondagi so'rovni skanerlaganingizda yoki fuzzing qilganingizda, makros ilovani maqsadli so'rov qabul qilinadigan holatga keltirish uchun zarur bo'lgan har qanday so'rovlarni bajarishi mumkin.
• Ko'p bosqichli jarayonda makros "hujum" so'rovidan keyin jarayonning qolgan bosqichlarini yakunlashi mumkin. U amal bajarilganini tasdiqlashi yoki boshqa yo'l bilan jarayonni yakunlashi mumkin.

So'rovlar ketma-ketligidan tashqari, har bir makros ketma-ketlikdagi cookie'lar va parametrlar qanday ishlanishi hamda elementlar orasidagi har qanday o'zaro bog'liqliklarni ham belgilaydi.

Macro Editor oynasini ochish uchun Add tugmasini bosib yangi makros qo'shishingiz mumkin.

Shuningdek, mavjud makroslaringizni tahrirlashingiz yoki ularning ro'yxatdagi o'rnini o'zgartirishingiz mumkin.

Macros sozlamalari loyiha sozlamalaridir. Ular faqat joriy loyihaga taalluqli.