Sayt xaritasi

Sayt xaritasi (site map) siz maqsadli ilovani o'rganib chiqishingiz davomida Burp to'playdigan ma'lumotlarni ko'rsatadi. Siz URL view va Crawl paths view o'rtasida almashib turishingiz mumkin. URL view ma'lumotlarning ierarxik ko'rinishini yaratadi va uni avval root domen, so'ngra subdomen bo'yicha alifbo tartibida tashkil qiladi. Kontent turli manbalardan, jumladan skanerlash natijalari hamda maqsadni qo'lda ko'zdan kechirganingizda topgan URL'laringizdan keladi. Shuningdek, quyidagilarni ham ko'rishingiz mumkin:

• Kontentlar ro'yxati.
• Ayrim elementlar uchun to'liq so'rov va javoblar.
• Burp aniqlagan har qanday xavfsizlik muammolari haqida to'liq ma'lumot.

Bu ma'lumotni boshqarishni osonlashtirish uchun uni filtrlash va izohlash mumkin. Sayt xaritasidan kontentni Burp'ning boshqa vositalariga yuborish va o'zingizning test qilish ish oqimingizni boshqarish uchun foydalanishingiz mumkin.

Sayt xaritasiga kirish

Sayt xaritasiga ikki joydan kirishingiz mumkin:

• Joriy loyihadagi barcha oddiy, izolyatsiya qilinmagan skanerlashlar ma'lumotini o'z ichiga olgan birlashtirilgan xaritani ko'rish uchun Target > Site map bo'limiga o'ting. Siz ishga tushiradigan har qanday yangi izolyatsiya qilinmagan skanerlash ushbu yorliqda ko'rsatilgan ma'lumotga qo'shiladi.
• Izolyatsiya qilingan skanerlash topgan sayt xaritasi ma'lumotini ko'rish uchun Dashboard bo'limiga o'ting va Tasks ro'yxatidan skanerlashni tanlang. Asosiy panelda Target > Site map yorlig'iga o'ting. Bu yorliq boshqa skanerlashlardan olingan ma'lumotni o'z ichiga olmaydi. U faqat Run isolated scan sozlamasi tanlangan skanerlashlar uchun ko'rsatiladi.

URL view

Chap paneldagi URL view kontentning ierarxik ko'rinishini o'z ichiga oladi. URL'lar quyidagicha ko'rsatiladi:

• Domenlar.
• Kataloglar.
• Fayllar.
• Parametrli so'rovlar.

URL view alifbo tartibida, avval root domen, so'ngra subdomen bo'yicha tashkil qilingan.

So'rovlar o'zining HTTP metodi bilan ko'rsatiladi (masalan, GET, PUT yoki OPTIONS). Bu sizga bir xil endpoint'ga turli metodlar bilan yuborilgan so'rovlarni oson ajratish imkonini beradi.

Qiziqarli tarmoqlarni kengaytirib, batafsil ma'lumotni ko'rishingiz mumkin. URL viewning bir yoki bir nechta qismini tanlasangiz, elementlar haqidagi tafsilotlarni Contents va Issues panellarida ko'rasiz. Bu panellar tanlovingizning quyi tarmoqlaridagi elementlarni ham ko'rsatadi.

URL view belgilari

Professional Live audit yoki Burp Scanner muammolarni aniqlaganda, ular daraxt ko'rinishidagi tegishli belgilarda rangli doiralarni ko'rsatadi. Doiraning rangi har bir tarmoq yoki element ichidagi eng jiddiy xavfsizlik muammosini bildiradi. Tegishli muammolarni Issues oynasida ko'rsatish uchun belgini bosing. Biz URL view va Issues oynasida bir xil rangli doiralardan foydalanamiz.

Agar belgi yonidagi matn qora bo'lsa, URL so'ralgan. Agar matn kulrang bo'lsa, URL hali so'ralmagan. Siz sayt xaritasi joylashuvini tahrirlashingiz mumkin.

Contents paneli

Contents paneli daraxt ko'rinishida tanlangan har qanday element uchun ma'lumotni ro'yxatlaydi:

• Proxy orqali bevosita so'ralgan barcha resurslar.
• Burp'ning proxy so'rovlariga kelgan javoblarni tahlil qilishiga asoslangan holda mavjud bo'lish ehtimoli yuqori bo'lgan kontent.
• Scanner yoki content discovery funksiyalari topadigan kontent.
• Boshqa vositalar chiqishidan qo'lda qo'shgan har qanday elementlar.

Agar element qora bo'lsa, URL so'ralgan. Agar element kulrang bo'lsa, URL hali so'ralmagan. Siz so'rovlar yuborganingizda, Burp boshqa kontentni topish uchun har qanday havolalardan foydalanadi va ularni kulrang rangda ko'rsatadi.

Maqsadli ilovani tahlil qilishga yordam berish uchun siz qiziqmagan kontentni yashirishda sayt xaritasi filtrlari va target scopedan foydalanishingiz mumkin.

Shuningdek, jadvalni moslashtirish va saralash hamda ustun ma'lumotlarini vaqtinchalik xotiraga nusxalash mumkin. Batafsil ma'lumot uchun Burp jadvallarini moslashtirish sahifasiga qarang.

So'rovlar va javoblar

Tegishli Request va Responseni quyi panelda ko'rish uchun Contents panelidan elementni tanlang. Xabarlarni tahlil qilish uchun Inspectordan foydalanishingiz mumkin. Xabarni Burp'ning boshqa vositasiga yubormoqchi bo'lsangiz, uni o'ng tugma bilan bosing.

Burp xabarlarni yanada tezroq tahlil qilish, Burp'ning asosiy ish oqimini boshqarish va boshqa foydali vazifalarni bajarishga yordam beruvchi ko'plab funksiyalarni o'z ichiga oladi. Batafsil ma'lumot uchun Burp Suite xabar muharriri sahifasiga qarang.

Issues paneli

Issues paneli daraxt ko'rinishida tanlangan elementlar uchun Burp Scanner aniqlagan muammolarni ko'rsatadi. Batafsil ma'lumotni yorliqlarda ko'rish uchun muammoni tanlang:

• Advisory - Muammo turi va uni bartaraf etish yo'llari tavsifini ko'ring.
• Request / Response - Muammo haqida xabar berishga asos bo'lgan to'liq so'rov va javoblarni ko'ring. Tegishli hollarda, so'rov va javobning muammoga aloqador qismlari ajratib ko'rsatiladi.
• Agar tegishli bo'lsa, muammo haqida xabar berishga asos bo'lgan Burp Collaborator serveri bilan har qanday o'zaro aloqalar tafsilotlarini ko'rishingiz mumkin.

Muammoni tezda takrorlash va tasdiqlash uchun Contents panelidagi xabarni o'ng tugma bilan bosing va so'rovni Burp Repeater'ga yuboring. Muqobil ravishda, GET so'rovlari uchun URL'dan nusxa olib, uni Burp brauzeriga joylashtirishingiz mumkin. So'ngra so'rovni qayta yuborishingiz va zarur bo'lsa, Burp yaratgan proof-of-concept hujumini nozik sozlashingiz mumkin.

Burp Scanner xabar beradigan har bir muammo jiddiylik darajasi (high, medium, low, informational) va ishonch darajasi (certain, firm, tentative) bo'yicha baholanadi. Agar Burp muammoni aniqlash uchun tabiatan kamroq ishonchli usuldan foydalansa (masalan, blind SQL injection uchun), ishonch darajasi pasayadi.

Bu baholar taxminiy bo'lib, siz ularni ilova funksionalligi va biznes konteksti haqidagi bilimingizga asoslanib ko'rib chiqishingiz kerak.

Issues panelini tahrirlash

Kontekst menyusidan foydalanib quyidagi amallarni bajarishingiz mumkin:

• Report selected issues - Tanlangan muammolar bo'yicha rasmiy hisobot yaratish uchun Burp Scanner'ning hisobot ustasidan foydalaning.
• Set severity - Jiddiylik darajasini high, medium, low yoki informational qilib o'zgartiring. Shuningdek, muammoni noto'g'ri ijobiy (false positive) deb belgilashingiz mumkin.
• Set confidence - Muammoning ishonch darajasini certain, firm yoki tentative qilib o'zgartiring.
• Delete selected issues - Tanlangan muammolarni o'chiring. Agar Burp muammoni qayta topsa (masalan, siz bir xil so'rovni qayta skanerlasangiz), muammo haqida yana xabar beriladi. Buning oldini olish uchun muammoni noto'g'ri ijobiy deb belgilashingiz mumkin. Biz bu vositani siz qiziqmagan hostlar yoki yo'llarni olib tashlamoqchi bo'lsangiz tavsiya qilamiz. Agar siz hali ustida ishlayotgan hostlar yoki yo'llar uchun muammolarni olib tashlamoqchi bo'lsangiz, false positive variantidan foydalaning.