Login ma'lumotlari
Burp Suite Professional ham, Burp Suite DAST ham bir bosqichli kirish mexanizmidan foydalanadigan ilovalarni skanerlashda Burp Scanner ishlatishi mumkin bo'lgan kirish ma'lumotlarini ko'rsatish imkonini beradi. Haqiqiy foydalanuvchi nomi va parolni ko'rsatish Burp Scanner'ga odatda faqat autentifikatsiyadan o'tgan foydalanuvchilar ko'ra oladigan kontentni audit qilish imkonini beradi.
Eslatma
Hatto oddiy foydalanuvchi nomi va parol autentifikatsiyasidan foydalanadigan saytlar uchun ham yozib olingan kirish ketma-ketligidan (recorded login sequence) foydalanishni tavsiya qilamiz. Yozib olingan kirishlar holat tekshiruvini (status check) qo'llab-quvvatlaydi, bu esa skanerga tizimda kirgan holatda qolishga yordam beradi hamda skanerlashni tezroq va chuqurroq qilishi mumkin. Burp Suite DAST'da yozib olingan kirishlar, shuningdek, skanerlash boshlanishidan oldin autentifikatsiya ishlayotganini tasdiqlovchi dastlabki tekshiruvni (pre-scan check) ishga tushirish imkonini beradi. Agar saytingiz murakkabroq kirish mexanizmidan foydalansa, yozib olingan kirish ketma-ketligidan foydalanishingiz shart, aks holda Burp Scanner tizimga kira olmasligi mumkin. Har bir skanerlash uchun faqat bitta autentifikatsiya usulidan foydalanishingiz mumkin. Agar siz ham kirish ma'lumotlarini, ham yozib olingan kirish ketma-ketligini kiritsangiz, Burp Scanner kiritilgan kirish ma'lumotlarini e'tiborsiz qoldiradi.
Burp Scanner kirish ma'lumotlaridan qanday foydalanadi?
Burp Scanner crawl'ni hech qanday kirish ma'lumotini yubormaydigan autentifikatsiyasiz bosqichdan boshlaydi. Bu Burp Scanner'ga ilova ichidagi barcha tizimga kirish va o'z-o'zini ro'yxatdan o'tkazish funksiyalarini aniqlash imkonini beradi.
Eslatma
Burp tizimga kirish va o'z-o'zini ro'yxatdan o'tkazish formalarini qanday aniqlashi haqida batafsil ma'lumot olish uchun Tizimga kirish va ro'yxatdan o'tish formalarini aniqlash sahifasiga qarang.
Agar ilova o'z-o'zini ro'yxatdan o'tkazishni qo'llab-quvvatlasa, Burp Scanner sukut bo'yicha shu bosqichda foydalanuvchini ro'yxatdan o'tkazishga urinadi.
Agar Use invalid usernames to trigger login failures skanerlash konfiguratsiyasi sozlamasi yoqilgan bo'lsa, Burp Scanner saytga soxta kirish ma'lumotlarini yuborishga ham urinadi. Bu ma'lumotlar bilan tizimga kirib bo'lmasa-da, ular hisobni tiklash mexanizmlari kabi qiziqarli funksiyalarga yetib borishi mumkin.
Eslatma
Agar skanerlash konfiguratsiyasining Crawl strategy bo'limida Only perform an authenticated crawl using the provided credentials opsiyasini tanlasangiz, Burp Scanner crawl'ning autentifikatsiyasiz bosqichini o'tkazib yuboradi.
Keyin Burp Scanner autentifikatsiyalangan crawl'ni amalga oshirishga urinadi. U tizimga kirish funksiyasiga bir necha marta murojaat qiladi va quyidagilar yordamida tizimga kirishga harakat qiladi:
- O'z-o'zini ro'yxatdan o'tkazgan hisob uchun kirish ma'lumotlari (agar mavjud bo'lsa).
- Oldindan mavjud bo'lgan hisob uchun siz ko'rsatgan kirish ma'lumotlari.
Burp Scanner har bir kirish ma'lumotlari to'plamidan navbatma-navbat foydalanib tizimga kiradi va kirish mexanizmi ortidagi kontentni crawl qiladi. Bu tizimga turli toifadagi foydalanuvchilar uchun mavjud bo'lgan turli funksiyalarni qamrab olish imkonini beradi.
Tizimga kirish sozlamalari
Crawl skanerlash konfiguratsiyasining Testing login functions bo'limi autentifikatsiyalangan crawl'lar davomida Burp Scanner xatti-harakatining ayrim jihatlarini sozlash imkonini beradi. Siz quyidagilarni sozlashingiz mumkin:
- Burp Scanner crawl (saytni aylanib chiqish) jarayonidan oldin maqsadli veb-saytda yangi foydalanuvchini o'zi ro'yxatdan o'tkazishga urinadimi-yo'qmi.
- Burp Scanner tizimga kirishdagi xatoliklarni ataylab yuzaga keltirish uchun soxta kirish ma'lumotlaridan foydalanadimi yoki yo'qmi.
Aloqador sahifa
- Saytga foydalanuvchi nomlari va parollarni qo'shish - Burp Suite DAST'da saytlar uchun foydalanuvchi nomlari va parollarni qanday boshqarish tushuntiriladi.
- Ilovaga kirish opsiyalari - Burp Suite'ning desktop nashrlarida ilovalar uchun foydalanuvchi nomlari va parollarni qanday boshqarish tushuntiriladi.
- Skanerlash konfiguratsiyasi: Crawl sozlamalari.