Qo'lda test qilishni Burp Scanner bilan to'ldirish

Avtomatlashtirilgan testlash imkoniyatlaridan tashqari, Burp Scanner qo'lda testlash ish oqimingizda ham kuchli vosita bo'la oladi: u butun ilovangizni skanerlamasdan turib, qiziqish uyg'otgan bandlar yoki sohalarni o'rganish imkonini beradi.

Masalan, Scanner'dan muayyan so'rovlarni maqsadli skanerlash uchun foydalanishingiz mumkin, so'ngra ularni Burp'ning qo'lda testlash vositalari yordamida chuqurroq o'rganishingiz mumkin.

Burp Scanner'dan qo'lda testlashni to'ldirish uchun qanday foydalanish mumkinligini bilish maqsadida, ataylab zaif qilib yaratilgan ginandjuice.shop veb-saytimizdan foydalanib, quyidagi darsliklarni bajarishingiz mumkin:

• Muayyan so'rovlarni skanerlash
• Foydalanuvchi belgilagan kiritish nuqtalarini skanerlash
• Nostandart ma'lumot tuzilmalarini skanerlash

Muayyan so'rovlarni skanerlash

Muayyan so'rovni skanerlash butun ilova bo'ylab skanerlashdan ancha tezroq va ko'pincha atigi bir necha soniya oladi.

Muayyan so'rovni skanerlash uchun:

1. Burp Suite'da Proxy > Intercept ga o'ting.
2. Burp brauzerini ochish uchun Open browser tugmasini bosing.
3. Burp brauzerida maqsadli ilovangizni ko'rib chiqing.
4. Burp'da Proxy > HTTP history ga o'ting. Sizni qiziqtirgan so'rovni aniqlang, so'ngra uni o'ng tugma bilan bosib quyidagi skanerlash usullaridan birini tanlang:
   • Scan: Burp Scanner skanerlash boshlanishidan oldin uning konfiguratsiyasini moslashtirish imkonini beradi.
   • Do passive scan: Burp Scanner o'zgartirilmagan so'rov va u olgan javob bo'yicha faqat auditdan iborat skanerlashni bajaradi.
   • Do active scan: Burp Scanner nishon ilovani sukut bo'yicha konfiguratsiyasidan foydalanib faqat audit rejimida skanerlaydi. Bu qo'shimcha zaifliklarni tekshirish uchun payload'lar bilan o'zgartirilgan so'rovlarni yuborishni o'z ichiga oladi.

Skanerlash boshlanganini bildirish uchun Dashboard yorlig'i miltillaydi. Skanerlash jarayoni va natijalarini ko'rib chiqish uchun Dashboard'ga o'tishingiz mumkin.

Foydalanuvchi belgilagan kiritish nuqtalarini skanerlash

Burp Suite kiritish nuqtalarini qo'lda belgilash va skanerlashning audit bosqichini faqat shu kiritish nuqtalaridan foydalanish bilan cheklash imkonini beradi. Bu skanerlashni sinovdan o'tkazmoqchi bo'lgan muayyan kiritmalarga qaratish, ya'ni talab qilinadigan so'rovlar sonini kamaytirish imkonini beradi. Bundan tashqari, bu Burp Scanner odatda e'tiborsiz qoldiradigan kiritmalar, masalan maxsus sarlavha qiymatlaridan foydalanib so'rovni skanerlash imkonini beradi.

Bitta kiritish nuqtasini skanerlash

Foydalanuvchi belgilagan bitta kiritish nuqtasini skanerlash uchun:

1. Xabar muharririda so'rovning kiritish nuqtasi sifatida ishlatmoqchi bo'lgan qismini ajratib belgilang.
2. So'rovga o'ng tugma bilan bosing, so'ngra Scan selected insertion point ni tanlang.
3. Skanerlashni sozlang va ishga tushiring.

Skanerlash boshlanganini bildirish uchun Dashboard yorlig'i miltillaydi. Skanerlashingiz jarayoni va natijalarini ko'rib chiqish uchun Dashboard'ga o'ting.

Bir nechta kiritish nuqtasini skanerlash

Bitta so'rovda bir nechta kiritish nuqtasini belgilash uchun Burp Intruder'dan ham foydalanishingiz mumkin.

Bir nechta kiritish nuqtasini skanerlash uchun:

1. Tegishli so'rovni Intruder'ga yuboring.
2. Intruder ga o'ting.
3. Xabar muharririda kiritish nuqtasi sifatida belgilamoqchi bo'lgan ost-satrni ajratib belgilang va Add § tugmasini bosing. Belgilamoqchi bo'lgan har bir kiritish nuqtasi uchun shu qadamni takrorlang.
4. So'rovga o'ng tugma bilan bosing, so'ngra Scan defined insertion points ni tanlang.
5. Skanerlashingiz jarayoni va natijalarini ko'rib chiqish uchun Dashboard'ga o'ting.

Agar bir nechta kiritish nuqtasini belgilasangiz, Burp har bir kiritish nuqtasini alohida skanerlaydi.

Nostandart ma'lumot tuzilmalarini skanerlash

Burp avtomatik tahlil qila olmaydigan ma'lumot formatining muayyan qismini skanerlashingiz kerak bo'lishi mumkin. Masalan, siz quyidagilarni skanerlashni xohlashingiz mumkin:

• Cookie qiymatiga joylashtirilgan ochiq matnning bir bo'lagi.
• Tire yoki qiya chiziq kabi belgilar bilan ajratilgan bir nechta ma'lumot nuqtasi.

Skanerlamoqchi bo'lgan kontentni xabar oynasida ajratib belgilab, so'ngra o'ng tugma bilan bosib, Scan selected insertion point ni tanlashingiz mumkin. Batafsil ma'lumot uchun qarang: Nostandart ma'lumot tuzilmalarini skanerlash.

HTTP trafigini ko'rib chiqish uchun saqlash

Butun ilova bo'ylab skanerlash o'tkazdingizmi yoki muayyan so'rovni skanerladingizmi, so'rov va javoblarni Burp Organizer'da saqlashingiz mumkin. Masalan, keyinroq maqsadli ilovangizni qaytadan skanerlamasdan yoki ko'rib chiqmasdan turib, muayyan javobni o'rganmoqchi bo'lishingiz mumkin.

Buning uchun so'rov yoki javobga o'ng tugma bilan bosing, so'ngra Send to Organizer ni tanlang.

Burp Organizer haqida batafsil bilish uchun qarang: Organizer.