Token namunasini olish
Burp Sequencer tahlilini o'tkazish uchun sizga tokenlar namunasi kerak bo'ladi. Buni ikki yo'l bilan qilishingiz mumkin:
- Tokenlarni to'g'ridan-to'g'ri maqsaddan avtomatik jonli yozib olish (live capture) orqali.
- Siz allaqachon qo'lga kiritgan tokenlar namunasini qo'lda yuklash orqali.
Eslatma
Sequencer atigi 100 ta tokendan iborat namuna bilan tahlil o'tkazish imkonini beradi, lekin buni jiddiy maqsadlar uchun ishonchli deb hisoblamaslik kerak. 5 000 ta tokendan iborat namuna odatda yetarli bo'ladi, garchi bu namunaning xususiyatlariga bog'liq bo'lishi mumkin. Sequencer FIPS standartlariga muvofiq maksimal 20 000 ta tokendan iborat namuna hajmini qo'llab-quvvatlaydi.
Tokenlarni jonli yozib olishni sozlash
Maqsadning javobidan tokenlarni avtomatik yozib olish uchun:
- Tahlil qilmoqchi bo'lgan tokenni qaytaradigan so'rovni toping.
- So'rovni o'ng tugma bilan bosing va kontekst menyusidan Send to Sequencer ni tanlang. So'rovni Burp'ning istalgan joyidan yuborishingiz mumkin.
- Token location within response panelida tokenni tanlang.
- Start live capture'ni bosing.
Yangi natijalar oynasi ochiladi, unda Sequencer so'rovni takror-takror yuboradi va ilovaning javoblaridan tegishli tokenni ajratib oladi. Jonli yozib olish jarayoni haqida bilish uchun Burp Sequencer jonli yozib olish bo'limiga qarang.
Token joylashuvini tanlash
Tahlil qilmoqchi bo'lgan tokenni Token location within response panelida belgilashingiz mumkin. Quyidagi variantlar mavjud:
- Cookie - Ochiluvchi ro'yxatdan cookie'ni tanlang. Bu mijozlarga sessiya tokenlarini uzatishning eng keng tarqalgan usuli.
- Form field - Ochiluvchi ro'yxatdan HTML forma maydoni qiymatini tanlang. Bu usuldan mijozlarga anti-CSRF tokenlari va boshqa har bir sahifaga xos tokenlarni uzatish uchun foydalanishingiz mumkin.
- Custom location - Javob ichida tahlil qilmoqchi bo'lgan tokenni o'z ichiga olgan maxsus joyni belgilang. Bunda javobdan ajratib olish qoidasi oynasidan foydalaniladi. Bu token odatiy forma maydonida ko'rinmaganda foydali.
Aloqador sahifalar
- Jonli yig'ish jarayoni haqida batafsil ma'lumot uchun Burp Sequencer live capture sahifasiga qarang.
- Siz Sequencer jonli yozib olish davomida HTTP so'rovlarini qanday yuborishini va tokenlarni qanday yig'ishini boshqarishingiz mumkin. Batafsil ma'lumot uchun Jonli yozib olish sozlamalari bo'limiga qarang.
Tokenlarni qo'lda yuklash
Siz Sequencer'ga allaqachon qo'lga kiritgan tokenlar namunasini, masalan, oldingi jonli yozib olishdan yoki Intruder hujumidan olinganini yuklashingiz mumkin:
- Sequencer > Manual load bo'limiga o'ting.
- Tokenlarni kiriting:
- Tokenlarni vaqtinchalik xotiradan (clipboard) joylash uchun Paste ni bosing.
- Tokenlarni fayldan yuklash uchun Load ni bosing.
- Namuna to'g'ri yuklanganiga ishonch hosil qilish uchun ko'rsatish maydonidagi eng qisqa va eng uzun uzunliklar haqidagi ma'lumotlardan foydalaning.
- Analyze now tugmasini bosing. Tahlil yangi natijalar oynasida boshlanadi.
Eslatma
Tokenlar oddiy, yangi qator bilan ajratilgan matn formatida ekanligiga ishonch hosil qiling.