Burp Suite bilan aks etgan kiritishni aniqlash

Aks etuvchi kiritma (reflected input) — bu ma'lumot so'rovdan nusxalanib, ilovaning bevosita javobiga qaytarilishi. Bu bir qator zaifliklar, jumladan aks etuvchi cross-site scripting (XSS) uchun zaruriy shartdir. Aks etuvchi kiritmani sinash uchun Burp'dan foydalanishingiz mumkin:

• Professional Aks etuvchi kiritmani avtomatik belgilash uchun Burp Scanner'dan foydalaning.
• Aks etuvchi kiritmani qo'lda aniqlash uchun Burp Repeater'dan foydalaning.

Qadamlar

Quyidagi jarayonlarni Hech narsa kodlanmagan HTML kontekstidagi aks etuvchi XSS labi yordamida kuzatib borishingiz mumkin.

Aks etuvchi kiritmalarni skanerlash

Agar Burp Suite Professional'dan foydalanayotgan bo'lsangiz, aks etuvchi kiritmani sinash uchun Burp Scanner'dan foydalanishingiz mumkin:

1. O'rganmoqchi bo'lgan so'rovni aniqlang.
2. Proxy > HTTP history bo'limida so'rov ustida sichqonchaning o'ng tugmasini bosing va Do active scan bandini tanlang. Burp Scanner so'rovni auditdan o'tkazadi.
3. Burp Scanner belgilagan aks etuvchi kiritmalarni aniqlash uchun Dashboard dagi Issues yorlig'ini ko'rib chiqing.

Aks etuvchi kiritmani qo'lda aniqlash

1. Proxy > HTTP history bo'limida tekshirmoqchi bo'lgan xabarni sichqonchaning o'ng tugmasi bilan bosing va Send to Repeater bandini tanlang.
2. Parametr qiymatini oson tanib olinadigan noyob satr bilan almashtiring. Masalan, xsstest.
3. Send tugmasini bosing.
4. Javobni ko'rib chiqing. Noyob satr javobda aks etganini aniqlash uchun matn muharririning qidiruv funksiyasidan foydalaning.
5. So'rovdagi har bir parametrni sinash uchun 2-4-qadamlarni takrorlang.

Keyingi qadamlar

Aks etuvchi kiritmani aniqlaganingizdan so'ng, quyidagi kabi zaifliklarni sinash uchun so'rovni yanada chuqurroq tekshirishingiz mumkin:

• Cross-site scripting
• Client-side template injection
• Server-side template injection
• Kiritmani o'zgartirishlar (input transformations)