Burp Suite bilan foydalanuvchi nomlarini sanash

Burp Intruder yordamida login formasi yoki ro'yxatdan o'tish formasi kabi autentifikatsiya mexanizmiga mumkin bo'lgan foydalanuvchi nomlari ro'yxatini kiritishingiz mumkin. Bu boshqa hujumlarda ishlatilishi mumkin bo'lgan haqiqiy foydalanuvchi nomlarini aniqlash imkonini beradi. Masalan, sanab chiqilgan foydalanuvchi nomlari ro'yxatidan foydalanish parolni taxmin qilish hujumida tizimga majburan kirish uchun zarur vaqt va kuchni sezilarli darajada kamaytiradi. Bundan foydalanuvchi ma'lumotlari yoki sessiyalariga qarshi hujumlarda ham foydalanish mumkin.

Qadamlar

Quyidagi jarayonni bizning Ozgina farq qiluvchi javoblar orqali foydalanuvchi nomlarini sanab chiqish labimizda kuzatib borishingiz mumkin. Agar labdan foydalanayotgan bo'lsangiz, lab ko'rsatmalarida keltirilgan foydalanuvchi nomlari ro'yxatidan foydalanishga ishonch hosil qiling.

Foydalanuvchi nomlarini sanab chiqish uchun Burp Intruder'dan foydalanishingiz mumkin:

1. Foydalanuvchi nomiga asoslangan autentifikatsiya mexanizmi uchun xatolik xabarini aniqlang. Xabarda foydalanuvchi nomi qiymatini ajratib ko'rsating, sichqonchaning o'ng tugmasini bosing va Send to Intruder bandini tanlang.
2. Intruder ga o'ting. E'tibor bering, foydalanuvchi nomi qiymati payload joylashuvi sifatida avtomatik qo'shilgan.
3. Payloads yon panelida, Payload configuration ostida sinab ko'rmoqchi bo'lgan foydalanuvchi nomlari ro'yxatini qo'shing.
   • Agar Burp Suite Professional'dan foydalanayotgan bo'lsangiz, Add from list ochiluvchi menyusini ochib Usernames ro'yxatini tanlashingiz mumkin.
   • Agar Burp Suite Community Edition'dan foydalanayotgan bo'lsangiz, foydalanuvchi nomlari ro'yxatini qo'lda qo'shing.
4. Settings yon panelini ochish uchun Settings yorlig'ini bosing. Grep - Match bo'limida Flag responses matching these expressions bandini tanlang. Hujumni boshlaganingizda Intruder ro'yxatdagi ifodalarni o'z ichiga olgan xabarlarni aniqlaydi. Sukut bo'yicha ifodalar ro'yxatidan foydalanishingiz yoki o'zingiznikini qo'shishingiz mumkin.
5. Javobdagi qiziqish uyg'otadigan bo'limlar uchun extract grep qo'shing.
   1. Grep - Extract ostida Add ni tanlang. Define extract grep item oynasi ochiladi.
   2. Javobda ajratib olishni xohlagan bo'limni, masalan, xato xabarini belgilang.
   3. OK ni bosing. Element ro'yxatga qo'shiladi. Hujumni boshlaganingizda Intruder har bir javobdagi shu joydagi matnni ajratib oladi va uni natijalar jadvalida ko'rsatadi.
6. Start attack ni bosing. Hujum yangi oynada ishga tushadi. Intruder ro'yxatdagi har bir foydalanuvchi nomi uchun so'rov yuboradi.
7. Hujum tugagach, haqiqiy foydalanuvchi nomini bildirishi mumkin bo'lgan xatti-harakatni izlab, javoblarni o'rganib chiqing. Masalan, g'ayrioddiy xatolik xabarlari, javob vaqtlari yoki status kodlarini qidiring. Quyidagi misolda bitta xatolik xabarida nuqta tushib qolgan.
8. Javob mazmunini batafsil tekshirish uchun o'ng tugma bilan bosing va Send to Comparer (response) bandini tanlang. Asl javob uchun ham xuddi shunday qiling.
9. Comparer yorlig'iga o'ting. Ikkita javobni tanlang va javoblarni solishtirish uchun Words yoki Bytes tugmasini bosing. Barcha farqlar ajratib ko'rsatiladi.