Burp Suite bilan kiritishlarni baholash

Chuqurroq o'rganishga arziydigan funksiyani topganingizdan so'ng, foydalanuvchi boshqara oladigan kiritmalarni baholash uchun Burp'ning bir qator vositalaridan foydalanishingiz mumkin. Bu qaysi kiritmalar ilova ishlashi uchun eng muhim ekanini aniqlash imkonini beradi. Masalan, bular ilovaning sessiyasiga yoki holatiga ta'sir qiladigan kiritmalar bo'lishi mumkin.

Burp Suite bilan kiritmalarni baholash uchun quyidagilarni qilishingiz mumkin:

• Alohida kiritmalarni qo'lda baholash.
• Kiritmalarni skanerlash.
• Kiritmalarni fuzzing qilish.

Boshlashdan oldin

Ushbu darslikni boshlashdan oldin quyidagi qadamlarni bajarishni tavsiya qilamiz:

• Sinov qamrovini belgilang. Batafsil ma'lumot uchun qarang: Burp Suite'da dastlabki sinov qamrovini belgilash.
• Maqsadli ilovaning xaritasini tuzing. Batafsil ma'lumot uchun qarang: Burp Suite bilan maqsadli veb-sayt xaritasini tuzish.
• Chuqurroq o'rganmoqchi bo'lgan so'rovlarni aniqlang. Batafsil ma'lumot uchun qarang: Yuqori xavfli funksiyalarni aniqlash.

Qadamlar

Quyidagi jarayonni SQL injection zaifligi bo'lgan labdan foydalanib bajarib borishingiz mumkin. Masalan, WHERE bandidagi SQL injection yashirin ma'lumotlarni olish imkonini beradi.

Alohida kiritmalarni qo'lda baholash

Alohida kiritmalar ilovaga qanday ta'sir qilishini qo'lda baholashingiz mumkin:

1. So'rovni Burp Repeater'ga yuboring.
2. Repeater yorlig'iga o'ting va har bir kiritishni navbatma-navbat o'zgartiring. Masalan, siz:
   1. Kiritishni olib tashlashingiz mumkin.
   2. Kiritishga bo'sh qiymat berishingiz mumkin.
   3. Kiritishga Collaborator payload'ini joylashtirishingiz mumkin. Kiritishni belgilang, so'ngra o'ng tugmani bosib Insert Collaborator payload ni tanlang.
3. So'rovni yuborish uchun Send ni bosing.
4. Javoblarni e'tiborga loyiq xatti-harakatlar, masalan, kiritishning aks etishi yoki javob vaqtlaridagi farqlar bormi degan nuqtai nazardan ko'rib chiqing.
5. Javoblar orasidagi nozik farqlarni aniqlash uchun javoblarni Burp Comparer'ga yuboring. Burp Comparer'da:
   1. Solishtirish uchun ikkita javobni tanlang.
   2. Javoblarni solishtirish uchun Words yoki Bytes tugmasini bosing. Natijalar bilan yangi oyna ochiladi. Comparer javoblar o'rtasidagi har qanday farqni ajratib ko'rsatadi.

Kiritmalarni skanerlash

Agar Burp Suite Professional'dan foydalanayotgan bo'lsangiz, potensial zaifliklarni aniqlash uchun kiritmalarni skanerlashingiz mumkin; Burp Scanner ularni muammo sifatida belgilaydi.

Bitta kiritmani skanerlash uchun:

1. Kiritmani ajratib belgilang. Buni Burp'dagi istalgan xabar muharriridan, masalan Proxy > HTTP history dan bajarishingiz mumkin.
2. O'ng tugma bilan bosib, Scan selected insertion point ni tanlang. Skanerlash ishga tushirgichi ochiladi.
3. Sukut bo'yicha konfiguratsiyadan foydalanib skanerlashni boshlash uchun OK tugmasini bosing.

Bir vaqtning o'zida bir nechta kiritmani skanerlash uchun:

1. So'rovni Burp Intruder'ga yuboring.
2. Intruder ga o'ting. Skanerlashni xohlagan har bir kiritish uchun payload pozitsiyasini qo'shing:
   1. Kiritishni tanlang.
   2. Add § ni bosing.
3. So'rovni o'ng tugma bilan bosing va Scan defined insertion points ni tanlang. Scan launcher ochiladi.
4. Sukut bo'yicha konfiguratsiyadan foydalanib skanerlashni boshlash uchun OK tugmasini bosing.

Burp Scanner so'rovni faqat tanlangan kiritmalardan foydalanib audit qiladi. Skanerlash aniqlagan muammolarni ko'rish uchun:

1. Dashboard yorlig'iga o'ting.
2. Tasks ro'yxatidan tegishli skanerlash vazifasini tanlang.
3. Issues yorlig'iga o'ting. Unda skanerlashda topilgan muammolar yozuvi mavjud.

Kiritmalarni fuzzing qilish

Potensial zaifliklarni aniqlash uchun kiritmani fuzzing qilishingiz mumkin:

1. So'rovdagi kiritmani ajratib belgilang, so'ngra o'ng tugma bilan bosib, Send to Intruder ni tanlang.
2. Intruder ga o'ting. E'tibor bering, kiritma avtomatik ravishda payload pozitsiyasi sifatida belgilanadi.
3. Payloads yon panelida, Payload configuration ostida fuzz satrlari ro'yxatini qo'shing. Agar Burp Suite Professional'dan foydalanayotgan bo'lsangiz, Add from list ochiluvchi menyusini oching va o'rnatilgan Fuzzing - full ro'yxatini tanlang. Aks holda o'z ro'yxatingizni qo'shing.
4. Start attack tugmasini bosing. Hujum yangi oynada boshlanadi. Burp Intruder har bir fuzz payloadi uchun so'rov yuboradi.
5. Hujum tugagach, e'tiborga loyiq xatti-harakatlarni izlab, javoblarni o'rganing.