Sessiya taymautini aniqlash

Foydalanuvchi ilovadan ma'lum vaqt davomida foydalanmaganda, ilovalarning aksariyati foydalanuvchini avtomatik tizimdan chiqaradi va uning sessiyasini bekor qiladi.

Sessiya kutish vaqti tugashi uchun qancha vaqt ketishini aniqlash maqsadida Burp Intruder yordamida bir xil so'rovni ortib boruvchi kechikishlar bilan bir necha marta yuborishingiz mumkin. Bu ilovalardan belgilangan muddat ichida sessiyani tugatishni talab qiladigan xavfsizlik standartlariga muvofiqlikni tekshirish imkonini beradi. Kutish vaqti qanchalik uzun bo'lsa, hujumchiga sessiya tokenidan foydalanish yoki uni topish uchun shuncha ko'p vaqt beriladi.

Qadamlar

Quyidagi jarayonni ataylab zaif qilib yaratilgan namoyish saytimiz ginandjuice.shop yordamida birgalikda bajarishingiz mumkin.

Sessiya kutish vaqtini aniqlash uchun:

1. Burp brauzerida maqsadli veb-saytingizga kiring. Agar siz ginandjuice.shop dan foydalanayotgan bo'lsangiz, to'g'ri hisob ma'lumotlari carlos:hunter2.
2. Proxy > HTTP history bo'limiga o'ting. Tizimga kirilgan holatdagi so'rovni aniqlang va uni Intruder'ga yuboring.
3. Intruder ga o'ting.
4. Payloads yon panelida Payload type ostida Null payloads bandini tanlang.
5. Payload configuration ostida Continue indefinitely bandini tanlang.
6. Resource pool yon panelini ochish uchun Resource pool yorlig'ini bosing.
7. Create new resource pool ni tanlang.
8. Resurs to'plami sozlamalarida Delay between requests, so'ngra Increase delay in increments of ___ milliseconds bandini tanlang. Kechikish vaqtini qo'shing.
9. Start attack tugmasini bosing. Hujum yangi oynada ishga tushadi. Intruder so'rovlarni takror-takror, so'rovlar orasida ortib boruvchi kechikish bilan yuboradi.
10. Hujum natijalari oynasi ochiq holda yuqori darajadagi menyudan Columns bandini bosing va Time of day ni tanlang. Natijalar jadvaliga Time of day ustuni qo'shiladi. Natijalarni shu ustun bo'yicha saralang.
11. Hujum davom etar ekan, javoblarni ko'rib chiqing. Sessiya haqiqiy emasligini bildiruvchi birinchi so'rovni aniqlang. Masalan, tizimga kirish sahifasiga yo'naltirishni izlang.
12. Sessiya kutish vaqtini aniqlash uchun tizimdan chiqarilgan so'rov bilan undan oldingi so'rov o'rtasidagi vaqt farqini toping.