Burp Suite bilan yashirin kiritishlarni tekshirish

Yashirin kiritmalar - bu sayt so'rovlarga qanday javob berishiga ta'sir qiladigan, ammo sayt bilan odatdagi muloqot davomida ishlatilmaydigan HTTP sarlavhalari, cookie'lar yoki parametrlardir. Yashirin kiritmalarni aniqlash maqsadingizdan ko'zlanmagan xatti-harakatni qo'zg'atishning qo'shimcha yo'llarini beradi.

Burp Suite'da potensial yashirin kiritmalarni Param Miner kengaytmasi yordamida topishingiz mumkin. Param Miner potensial yashirin kiritmalarni taxmin qilish uchun o'rnatilgan so'zlar ro'yxati va qamrovdan olingan ma'lumotdan foydalanadi. So'ngra u har bir kiritmani o'z ichiga olgan so'rovni, ketidan esa shu kiritma olib tashlangan yana bir so'rovni yuboradi. Agar javoblar farq qilsa, bu sinovdan o'tkazilgan sarlavha, cookie yoki parametr veb-sayt tomonidan qo'llab-quvvatlanishini bildiradi.

Boshlashdan oldin

Ushbu darslikni boshlashdan oldin quyidagi qadamlarni bajarishni tavsiya qilamiz:

• Param Miner BApp'ini o'rnating. Batafsil ma'lumot uchun qarang: BApp Store'dan kengaytmalarni o'rnatish.
• Sinov qamrovini belgilang. Batafsil ma'lumot uchun qarang: Burp Suite'da dastlabki sinov qamrovini belgilash.
• Maqsadli saytingizning ko'rinadigan hujum sathi xaritasini tuzing. Batafsil ma'lumot uchun qarang: Burp Suite bilan ko'rinadigan hujum sathi xaritasini tuzish.

Qadamlar

Quyidagi jarayonni ataylab zaif qilib yaratilgan namoyish saytimiz Gin and Juice Shop yordamida bajarib borishingiz mumkin. Bu saytda Param Miner topa oladigan yashirin kiritmalar mavjud.

Param Miner bilan yashirin kiritmalarni tekshirish uchun:

1. Burp Suite'da Target > Site map ni oching.
2. Param Miner'ni ishlatmoqchi bo'lgan so'rovni tanlang. Zarur bo'lsa, bir nechta so'rovni tanlashingiz mumkin.
3. Extensions > Param Miner > Guess params ni tanlang.
4. Param Miner taxmin qilishini xohlagan yashirin kiritishlar turini tanlang:
   • Guess GET parameters
   • Guess cookie parameters
   • Guess headers
   • Guess everything!
5. Attack Config oynasida OK tugmasini bosing. Agar Guess everything! ni tanlagan bo'lsangiz, oynani yopish uchun OK tugmasini bir necha marta bosishingiz kerak. Param Miner maqsadga bir qator so'rovlar yuboradi.
6. Sinov natijalarini ko'rish uchun Extensions > Installed > Param Miner > Output ni tanlang. Bu yorliq Param Miner ishining jurnalini, jumladan aniqlangan har qanday yashirin kiritmalarni ko'rsatadi.

Burp Suite Professional'da yashirin kiritmalar Dashboard yorlig'ida Secret input muammosi sifatida ham paydo bo'ladi. Tegishli so'rov va javoblarni ko'rish uchun bu muammolarni tanlang.