Yozib olingan login ketma-ketliklari nosozliklarini bartaraf etish

Burp Scanner ba'zan skanerlash davomida yozib olingan login ketma-ketligini qayta ijro eta olmaydi. Bu skanerlashning butunlay muvaffaqiyatsiz bo'lishiga olib kelmasa-da, ketma-ketlikni qayta ijro eta olmaslik Burp Scanner'ga autentifikatsiyalangan crawl'ni bajarish imkonini bermaydi.

Bu muammolarni bartaraf etish uchun bir necha qadamni bajarishingiz mumkin:

• Ilovaning login mexanizmi yozib olingan loginlar imkoniyati bilan mos kelishiga ishonch hosil qilish uchun Yozib olingan login ketma-ketliklarining cheklovlari sahifasini tekshiring.
• Skanerlashning hodisalar jurnalidagi xato xabarlarini tekshirib ko'ring. Ular muammo login ketma-ketligidami yoki brauzer bilan bog'liq umumiy muammo bormi, shuni aytib berishi mumkin. Ba'zi jurnal yozuvlari keyinchalik bartaraf etilgan vaqtinchalik nosozliklarni aks ettirishi mumkinligini yodda tuting. Masalan, agar maqsadli sayt so'rovlar sonini cheklasa, Burp Scanner tizimga kira olmaganini bildiruvchi ko'plab yozuvlarni ko'rishingiz mumkin. Biroq u skanerlashning keyingi qismida muvaffaqiyatli kirgan bo'lishi mumkin.
  • Burp Suite DAST'da hodisalar jurnaliga kirish haqida batafsil ma'lumot uchun Jurnallar va debug paketlarini yuklab olish sahifasiga qarang.
  • Burp Suite Professional'da hodisalar jurnaliga kirish haqida batafsil ma'lumot uchun Event log sahifasiga qarang.
• Brauzer bilan bog'liq muammolar yo'qligiga ishonch hosil qilish uchun Burp brauzerining Help menyusidan sog'liq tekshiruvini ishga tushiring. Yozib olingan loginlar faqat brauzer asosidagi skanerlashlar bilan mos keladi. Agar brauzer asosidagi skanerlashga to'sqinlik qiladigan muammo bo'lsa, Burp Scanner yozib olingan login ketma-ketligingizdan foydalana olmaydi. Batafsil ma'lumot uchun Burp brauzeri sahifasiga qarang.
• Yozib olingan login ketma-ketligini sinash uchun Replay funksiyasidan foydalaning. Ketma-ketlik tizimga kirgandan keyin siz kutgan sahifada yakunlanishiga ishonch hosil qiling. Agar shunday bo'lmasa, Burp kutilganidek bajara olgan oxirgi amalni aniqlashingiz mumkin. Login ketma-ketligini qaytadan yozib olib ko'ring va yana bir sinov o'tkazing. Agar bu yangi yozuv ham xuddi shu bosqichda muvaffaqiyatsiz tugasa, ketma-ketlikdagi keyingi amal Burp Scanner tomonidan qo'llab-quvvatlanmayotgan bo'lishi mumkin. Burp Suite DAST'da login ketma-ketliklarini qayta ijro etish haqida qo'shimcha ma'lumot uchun Yozib olingan loginni ko'rib chiqish sahifasiga qarang.
• Login ketma-ketligi skanerlash qamrovidagi sahifada tugashini yana bir bor tekshirib ko'ring. Crawler login jarayonida qamrovdan tashqaridagi havolalarga ergashishi mumkin bo'lsa-da, login ketma-ketligi qamrovdagi sahifada tugashi shart.
• Agar yozib olingan login'ingizda TOTP qadami bo'lsa va skaner yaroqsiz kodlar generatsiya qilayotgan bo'lsa, TOTP maxfiy kaliti, algoritmi, davri va raqamlar soni maqsadli ilovangizning MFA sozlamalariga mos kelishini tekshirib ko'ring. Bu sozlamalarni administratoringizdan so'rashingiz kerak bo'lishi mumkin.
• Agar yozib olingan loginingizda WebAuthn qadami bo'lsa va autentifikatsiya muvaffaqiyatsiz tugayotgan bo'lsa, quyidagilarni tekshiring:
  • Passkey'ingizni olishdan va login ketma-ketligini yozib olishdan oldin parol menejerining barcha brauzer kengaytmalarini o'chirganingizga ishonch hosil qiling.
  • Agar korporativ identifikatsiya provayderidan foydalanayotgan bo'lsangiz, sozlamalaringizda sinxronlangan passkey qo'llab-quvvatlashi yoqilganini tekshiring.
• DAST Agar status checker'dan foydalanayotgan bo'lsangiz, konfiguratsiyangizni tekshiring:
  • URL ochilishini va tizimga kirgan holatda kutilgan mazmunni qaytarishini tekshiring.
  • Tasdiqlash matni faqat autentifikatsiyadan o'tgan holatda paydo bo'lishini va autentifikatsiyadan o'tmagan foydalanuvchilar uchun mavjud emasligini tasdiqlang.
  • Tasdiqlash matni kutilganidek paydo bo'lishi va yo'qolishini ta'minlash uchun tizimga kirish va chiqish orqali status URL'ini qo'lda sinab ko'ring.
  • Skanerlash davomida autentifikatsiya nosozliklarini ko'rsatishi mumkin bo'lgan status checker bilan bog'liq xatoliklar uchun hodisalar jurnalini (event log) tekshiring.