Sayt xaritalarini solishtirish

Bu funksiyadan ikkita sayt xaritasining URL manzillarini solishtirish uchun foydalanishingiz mumkin. Bu kirish nazorati zaifliklarini topishga va qo'lda tekshirish kerak bo'lgan joylarni aniqlashga yordam beradi. Masalan:

• Ilovani xaritalash uchun turli imtiyoz darajasidagi hisoblardan foydalanib, natijalarni solishtirishingiz mumkin. Bu bir foydalanuvchiga ko'rinadigan, ammo boshqasiga ko'rinmaydigan funksionallikni aniqlash imkonini beradi.
• Ilovani xaritalash uchun yuqori imtiyozli hisobdan foydalanib, so'ngra butun sayt xaritasini past imtiyozli hisobdan qayta so'rashingiz mumkin. Bu imtiyozli funksiyalarga kirish to'g'ri nazorat qilinayotgan-qilinmayotganini aniqlash imkonini beradi.
• Ilovani xaritalash uchun bir xil turdagi ikkita turli hisobdan foydalanib, natijalarni solishtirishingiz mumkin. Bu maxfiy resurslarga kirishda foydalanuvchiga xos identifikatorlar ishlatiladigan holatlarni aniqlash va har bir foydalanuvchi ma'lumotlari to'g'ri ajratilgan-ajratilmaganini bilish imkonini beradi.

Solishtirish ustasiga kirish uchun sayt xaritasi ustida sichqonchaning o'ng tugmasini bosing va kontekst menyusidan Compare site maps bandini tanlang. Usta quyidagilarni sozlash imkonini beradi:

• Siz solishtirmoqchi bo'lgan sayt xaritalarining manbalari.
• Sayt xaritalari o'rtasida so'rovlar qanday moslashtirilishi.
• Javoblarni solishtirish qanday amalga oshirilishi.

Sayt xaritasi manbalari

Siz solishtirmoqchi bo'lgan sayt xaritalarining manbalarini tanlashingiz kerak:

• Use current site map - Burp'ning Target tabidagi sayt xaritasidan foydalaning.
• Professional Load from Burp project file - Saqlangan Burp loyiha faylidagi sayt xaritasidan foydalaning. Bu ilovani turli imtiyoz darajasidagi hisoblar yordamida allaqachon xaritalagan bo'lsangiz foydalidir.
• Yuqoridagilarning istalgani, boshqa sessiya kontekstida qayta so'ralgan holda.

Sayt xaritasining butun mazmunidan foydalanishingiz yoki solishtirishni tanlangan hamda qamrovdagi elementlar bilan cheklashingiz mumkin.

Agar sayt xaritasini boshqa sessiya kontekstida qayta so'rasangiz, quyidagilarga e'tibor bering:

• So'rovlar to'g'ri sessiya kontekstida bajarilishi uchun sessiyani boshqarish qoidalarini yaratishingiz kerak. Qoidalarni Target vositasi yuboradigan so'rovlarga qo'llanadigan qilib sozlang:
  • Oddiy holatlarda Target vositasidan kelgan so'rovlarni Burp'ning cookie jar'idagi cookie'lar bilan yangilaydigan qoidadan foydalanishingiz mumkin. Sessiya solishtirish amalga oshirilishidan oldin kerakli sessiya kontekstini olish uchun brauzerdan foydalanadi.
  • Boshqa holatlarda joriy sessiya kontekstini tekshirish va qaytadan tizimga kirish uchun murakkabroq sessiyani boshqarish qoidalarini yaratishingiz kerak bo'lishi mumkin. Batafsil ma'lumot uchun sessiyalarni boshqarish bo'yicha yordam sahifasiga qarang.
• Sessiya kontekstini buzishi mumkin bo'lgan har qanday so'rovni chiqarib tashlashni tavsiya qilamiz. Bunga login, logout va foydalanuvchi nomidan ish ko'rish (impersonation) funksiyalari kiradi. Bu so'rovlarni chiqarib tashlash uchun solishtirishni tanlangan yoki qamrovdagi elementlar bilan cheklang.

So'rovlarni moslashtirish

Burp ikkita sayt xaritasini solishtiradi va farqlarni aniqlash uchun ular orasidagi har bir so'rovni moslashtiradi.

Burp so'rovlarni URL fayl yo'li, HTTP metodi hamda so'rov satri va xabar tanasidagi parametrlar nomlari asosida moslashtiradi.

Ba'zi ilovalar uchun Burp moslashtirishni qanday bajarishini o'zgartirishni xohlashingiz mumkin:

• URL file path - Buni har bir solishtirish uchun kiritishingiz kerak. U ikkita so'rov ekvivalent ekanini aniqlaydi.
• HTTP method - Buni kiritishni tavsiya qilamiz. Ko'p hollarda ilovalar bir xil URL manziliga GET va POST so'rovlarini turli maqsadlarda ishlatadi.
• URL query string - Ko'p hollarda buni qo'shish kerak. Turli URL parametrlariga ega so'rovlar odatda ilovaning turli funksiyalari uchun ishlatiladi. Ikki variant mavjud:
  • Match parameter names only - Parametr nomlari bir xil, lekin qiymatlari turlicha bo'lgan query satrlarini mos deb hisoblaydi. Bu parametr qiymatlari foydalanuvchiga xos yoki vaqtinchalik ma'lumotni o'z ichiga olganda foydali. Agar parametr nomlari bajarilayotgan ilova funksiyasini bildirsa, masalan action=CreateUser, bu sozlamani o'chirib qo'ying.
  • Ignore these parameters - Query satrlarini moslashtirishda e'tiborga olinmaydigan parametrlarni ko'rsatadi.
• Request body - Buni qo'shishni tavsiya qilamiz, chunki turli body parametrlariga ega so'rovlar odatda ilovaning turli funksiyalari uchun ishlatiladi. URL query string dagi kabi o'sha ikkita variantdan tanlashingiz mumkin.
• Request headers - Birinchi qatordan keyin turli HTTP sarlavhalariga ega so'rovlar mos deb hisoblanishiga yo'l qo'ymaydi. Ko'p hollarda bu sozlamani tanlash shart emas: brauzerlar so'rov sarlavhalarini ilova darajasidagi funksionallikka aloqasi yo'q sabablarga ko'ra o'zgartirishi mumkin. Agar ilova so'rovlarning funksiyasini bildirish uchun maxsus HTTP sarlavhalari bilan skript orqali hosil qilingan so'rovlardan foydalansa, bu sozlamani yoqing.

Javoblarni solishtirish

Burp moslashtirilgan so'rovlarga kelgan javoblarni solishtiradi va farqlarni aniqlaydi. Javoblarni solishtirishni maqsadli ilovangizga moslab sozlashingiz mumkin:

• Response headers - Barcha sarlavhalarni kiriting yoki solishtirishni muayyan sarlavhalar bilan cheklang. Qiymatlari ilova funksionalligi va holatini aks ettiradigan javob sarlavhalarini, masalan, Set-Cookie ni kiritishni tavsiya qilamiz.
• Form field values - Barcha forma maydoni qiymatlarini qo'shadi yoki solishtirishni muayyan qiymatlar bilan cheklaydi. Forma maydoni qiymatlari ko'pincha kirish nazoratidagi muammolarni aniqlash mumkin bo'lgan farqlarni aks ettiradi. Ularni tahlil qilish uchun:
  • Qo'lda ko'rib chiqish uchun forma maydoni qiymatlarini ajratib belgilang.
  • Ahamiyatsiz maydonlarni chiqarib tashlash uchun sozlamani o'zgartiring.
  • Solishtirishni qaytaring.
• Whitespace - Javoblardagi faqat bo'sh joylardan iborat farqlarni e'tiborsiz qoldirishni tanlang. Bular odatda kirish nazorati muammolariga aloqador emas.
• MIME type - Matnli bo'lmagan kontentni solishtirishni o'tkazib yuboradi. Bunday solishtirishlar hisoblash resurslarini ko'p talab qiladi. Bundan tashqari, bunday javoblarda ko'pincha rasmlar kabi statik kontent bo'ladi, u esa kirish nazorati muammolariga aloqador emas.

Standart sozlamalar aksariyat holatlarda yaxshi ishlaydi. Ular vaqtinchalik qiymatlarga ega turli keng tarqalgan HTTP sarlavhalari va forma maydonlarini hamda javoblardagi faqat bo'sh joy bilan bog'liq farqlarni e'tibordan chetda qoldirib, shovqinni kamaytirish uchun mo'ljallangan.

Natijalar jadvalda ko'rsatiladi. Jadval mazmunini moslashtirish va saralash mumkin. Batafsil ma'lumot uchun Burp jadvallarini moslashtirish sahifasiga qarang.