Burp Suite is een krachtige kwetsbaarheidsscanner ontwikkeld door Portswigger die wordt gebruikt om de beveiliging van webapplicaties te testen. Burp Suite, dat wordt geleverd met distributies zoals Kali en Parrot, heeft een tool genaamd Intruder, waarmee je geautomatiseerde speciale aanvallen kunt uitvoeren op online applicaties voor ethisch hacken. De Intruder is een flexibel en configureerbaar hulpmiddel, wat betekent dat u het kunt gebruiken om elke taak te automatiseren die zich voordoet in het testen van applicaties.
Dus hoe werkt het eigenlijk?
Het doelwit gebruiken in Indringer
Target, dat u kunt zien wanneer u naar het tabblad Indringer in Burp Suite gaat, bevat informatie over de doelwebsite of -toepassing die u wilt testen. U kunt de hostinformatie en het poortnummer invoeren als doel onder het gedeelte "Payloadposities".
Het tabblad Posities gebruiken in Indringer
Op het tabblad Posities ziet u de aanvalstypen, het verzoeksjabloon en de parameterinformatie waarop u zich wilt richten. Dit zijn de soorten aanvallen die je kunt testen met Burp Suite.
sluipschutter: Deze optie gebruikt slechts één parameter. Niet-gerichte parameters worden in dit geval niet beïnvloed.
Stormram: Deze optie gebruikt een enkele aanvalsvector voor alle gerichte parameters. Dat wil zeggen, als er drie gerichte parameters in de aanvraagsjabloon staan, valt deze alle drie aan met dezelfde aanvalsvectoren.
Hooivork: Bij deze optie is het mogelijk om meer dan één aanvalsvector te gebruiken voor alle gerichte parameters. Als u denkt dat er drie gerichte parameters in het verzoeksjabloon staan, zou het eerste verzoek zijn om het eerste element van de eerste lijst voor de eerste parameter te selecteren en te plaatsen; het eerste element van de tweede lijst voor de tweede parameter; en het eerste element van de derde lijst voor de derde parameter. In het tweede verzoek zullen de te selecteren elementen het tweede element van elke lijst zijn. U kunt dit aanvalstype gebruiken wanneer u verschillende vectoren op meerdere doelparameters plaatst.
Cluster bom: U kunt in dienst nemen meer dan één aanvalsvector voor alle gerichte parameters die deze optie gebruiken. Het verschil met de Pitchfork-optie is dat je met een clusterbom alle combinatieverdelingen kunt aanpassen. Het maakt geen opeenvolgende keuzes zoals Pitchfork dat doet. Het proberen van elke mogelijke combinatie van doelparameters kan resulteren in een enorme aanvraagbelasting. Daarom moet u voorzichtig zijn bij het gebruik van deze optie.
Er zijn enkele andere handige knoppen op het scherm Posities. U kunt elke geselecteerde parameter verwijderen met de Duidelijk knop aan de rechterkant. Als u een nieuwe wilt targeten, kunt u de Toevoegen knop rechts ook. Gebruik de Auto knop om automatisch alle velden te selecteren of terug te keren naar hun oorspronkelijke staat.
Wat zijn de Payloads-tabbladen in Burp Suite?
Denk aan payload-lijsten zoals woordenlijsten. U kunt de Ladingen tabblad om een of meer payload-lijsten in te stellen. Het aantal payload-sets varieert afhankelijk van het aanvalstype.
U kunt een payload-set op een of meer manieren definiëren. Als je een sterke woordenlijst hebt, kun je je woordenlijst importeren door de Laden knop in het gedeelte "Payload-opties".
U kunt ook afzonderlijke payload-sets voorbereiden voor de beoogde parameters. U kunt bijvoorbeeld alleen numerieke uitdrukkingen gebruiken voor de eerste doelparameter, terwijl u complexe uitdrukkingen kunt gebruiken voor de tweede doelparameter.
Payload-verwerking
U kunt de geconfigureerde payloadsets verder uitbreiden via Payload-verwerking met regels en coderingen. U kunt bijvoorbeeld alle payloads prefixen, ze laten coderen en decoderen, of expressies overslaan die bepaalde regexes doorgeven.
Payload-codering
Met Payload-codering, kunt u tijdens de verzending van HTTP-aanvragen naar de bestemming zonder problemen specificeren welke tekens URL-gecodeerd moeten zijn in de parameters. URL-codering is een geconverteerde versie van informatie die waarschijnlijk wordt verward met het adres. Burp Suite stuurt de URL om equivalenten van tekens te coderen, zoals ampersands (&), sterretjes (*) en puntkomma's en dubbele punten (respectievelijk;; en :) in de standaardinstellingen.
Wat is het tabblad Opties in Indringer?
De Opties tabblad heeft opties voor verzoekheaders, aanvalsresultaten, grep-overeenkomsten en omleidingen. U kunt deze wijzigen in de Intruder-interface voordat u een scan start.
Kopteksten aanvragen
U kunt de verzoekkoppen instellen met behulp van de instellingen in het veld "Verzoekkoppen". Het belangrijkste om hier op te merken is de Content-Length-header: het bestemmingsadres kan een fout retourneren als de inhoud niet correct is bijgewerkt.
Als de Set-Connection-gegevens niet worden gebruikt, kan de verbinding open blijven, dus na het activeren van de Set-Connection-optie wordt de verbinding verbroken. Wel kunt u transacties wat sneller uitvoeren.
Foutafhandeling
De instellingen in het gedeelte "Foutafhandeling" bepalen de engine die wordt gebruikt om HTTP-verzoeken in indringerscans te genereren. Hier kunt u parameters instellen zoals de snelheid, ernst en duur van de aanval.
Aanval resultaten
In het gedeelte "Aanvalsresultaten" kunt u instellen welke informatie in de scanresultaten wordt weergegeven. Deze configuratie-instellingen hebben de volgende opties:
- Bewaar verzoeken/antwoorden: Deze twee opties zijn om te specificeren of de inhoud van verzoeken en antwoorden van scans al dan niet moet worden opgeslagen.
- Doe een ongewijzigd basisverzoek: Dit bevat de basiswaarden van de beoogde parameters en de geconfigureerde scanverzoeken, zodat u scanreacties kunt vergelijken.
- Denial-of-service-modus gebruiken: Met deze optie kunt u een normaal scanverzoek doen. Het kan echter plotseling worden afgesloten voordat er een reactie van de server is, omdat deze functie vermoeidheid veroorzaakt bij de doelserver. Daarom moet je het voorzichtig gebruiken.
- Sla volledige payloads op: Hierdoor kan Burp Suite de exacte payload-waarden voor elk resultaat opslaan. Kies je hiervoor, dan neemt Intruder extra ruimte in beslag.
Grep - Match, Extract, Payloads
U kunt de instellingen in de secties "Grep—Match", "Grep—Extract" en "Grep—Payloads" gebruiken om resultaten te markeren die zinnen bevatten die zijn gespecificeerd in scanreacties. Burp Suite voegt een bevestigingskolom toe voor elk item dat u configureert, om aan te geven of het item in het antwoord is gevonden. Bijvoorbeeld, bij wachtwoordaanvallen, ziet u mogelijk zinnen als "onjuist wachtwoord" en "succesvol inloggen". Functies in de Grep-Match-sectie zijn onder meer:
- Overeenkomsttype: Dit geeft aan of de gedefinieerde expressies een regex (reguliere expressie) of tekstexpressie zijn.
- Hoofdlettergevoelige overeenkomst: Dit specificeert of hoofdlettergevoelig moet zijn of niet.
- HTTP-header uitsluiten: Specificeer of de kopregels zijn vrijgesteld van deze operatie.
Waarom is Burp Suite zo belangrijk?
Ethische hackers gebruiken Burp Suite vaak voor bugbounty-operaties. Evenzo kunnen beveiligingsonderzoekers die in grote bedrijven werken en penetratietesters die beveiligingstests op internettoepassingen willen uitvoeren, ook op Burp Suite vertrouwen. Natuurlijk zijn er nog veel meer geweldige tools die u kunt gebruiken voor penetratietesten; Als je naast Burp Suite ook andere pentesttools onder de knie hebt, val je op.
