W pracy #od0dopentestera potrzebujemy narzędzia, które rejestruje i ponownie wykonuje żądania http.
Jednym z nich jest Repeater z pakietu Burp.
Teoretycznie to prosty mechanizm. Po lewej treść żądania a po prawej odpowiedź serwera.
Ale istnieje trochę opcji, których mogłeś nie znać.
1. Żądania przechowywane są w ponumerowanych zakładkach.
Można zmienić ich nazwę klikając na daną zakładkę dwa razy.
2. W rogu zakładki, znajduje się przycisk „X” zamykający naszą pracę.
W najnowszej wersji możliwe jest przywrócenie zamkniętego okna.
Wystarczy użyć prawego przycisku myszy i wybrać „Reopen closed tab”.
3. Wyszukiwarka automatycznie przesuwa tekst odpowiedzi do pierwszego wystąpienia naszego słowa.
Jeżeli ma tak działać również dla nowych żądań – zaznacz „Auto-scroll”, który znajdziesz po kliknięciu w przycisk „+”.
4. W darmowej wersji nie możemy zapisywać naszej pracy w formie projektów.
Można jednak zapisać żądania z narzędzia Repeater do pliku XML.
„Save entire history” schowane jest pod prawym przyciskiem myszy.
Jedna uwaga. Tak zapisanych danych nie można w łatwy sposób przywrócić.
Jest to więc opcja awaryjna w przypadku kryzysowych sytuacji.
5. Chcesz zmienić typ żądania z POST na GET?
Wybierz: „change request method”.
6. Czasami treść żądania musi być zapisana w odpowiedni sposób.
Zamiast spacji – musimy używać znaku „+”.
Możemy skorzystać z dodatkowego modułu „Decoder” aby odpowiednio przekształcić dane.
Szybsza metoda to „URL-encode as you type”, która zmienia znaki podczas ich wpisywania z klawiatury.
7. Jeżeli zastanawiasz się dlaczego nie widzisz treści przekierowań 301 a jedynie ich wynik – musisz zmienić opcję „Follow redirections” znajdującą się w górnym menu „Repeater”.
Burp standardowo podąża za przekierowaniami, a to może przeszkadzać chociażby w poszukiwaniu błędów typu open redirection.
8. W treści żądań znajduje się nagłówek „Content-Length”, informujący serwer ile danych zostanie przesłanych przez użytkownika.
Ta wartość jest automatycznie modyfikowana aby pasowała do przesłanych przez nas informacji.
Chcąc sprawdzić zachowanie serwera dla innych wartości, odznacz „Update Content-Length”.
Moje materiały możesz posłuchać w formie podcastu na Google i Apple Podcasts oraz Spotify i Anchor.
Subskrybuj kanał na YouTube
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.
Jeżeli chcesz być wołany do podobnych wpisów na Mirko dodaj się do Mirkolisty.
#bezpieczenstwo #programowanie #informatyka #it #nauka #technologia #ciekawostki #swiat #gruparatowaniapoziomu #biznes #security