Burp Suite bilan WebSocket xabarlarini manipulyatsiya qilish

WebSocket'lardagi zaifliklarni topish odatda xabarlarni ilova kutmagan tarzda manipulyatsiya qilishni o'z ichiga oladi. Masalan, agar siz mavjud xabarlarni o'zgartira olsangiz yoki yangilarini yarata olsangiz, SQL injection yoki cross-site scripting ekspluatatsiyalarini yetkazishingiz mumkin bo'ladi.

Ushbu qo'llanma Repeater'da WebSocket xabarlarini qanday o'zgartirish va qayta yuborishni tushuntiradi. Quyidagi qadamlarni Zaifliklardan foydalanish uchun WebSocket xabarlarini manipulyatsiya qilish nomli Web Security Academy laboratoriyasidan foydalanib bajarishingiz mumkin.

Qadamlar

WebSocket xabarlarini o'zgartirish va qayta yuborish uchun:

1. Hujum yuzasini xaritalash uchun maqsadli ilovani ko'rib chiqing.
2. Proxy > WebSockets history ga o'ting. Bu yorliq Burp brauzeri maqsadli host bilan almashgan har qanday WebSocket xabarlari jadvalini ko'rsatadi.
3. Qayta yubormoqchi yoki o'zgartirmoqchi bo'lgan xabarni (masalan, chiquvchi chat xabarini) o'ng tugma bilan bosing va Send to Repeater ni tanlang. Burp Repeater'da yangi WebSocket yorlig'ini yaratadi.
4. Repeater'ga o'ting, yangi yorliqni tanlang va Send tugmasini bosing.
5. Xabar qayta yuborilganini tasdiqlash uchun History panelini tekshiring.
6. Send WebSocket message panelida xabarni o'zgartiring. Masalan, shu nuqtada proof-of-concept XSS hujumini yuborishingiz mumkin.
7. Yana Send tugmasini bosing.
8. O'zgartirilgan xabar History panelida yuborilgan sifatida ko'rinishini tasdiqlang.