Při používání Burp Suite můžete často narazit na data, která používají nějakou formu kódování. Kódování je obecně navrženo tak, aby konfigurovalo data tak, aby je počítačový systém zvládl, bohužel obecně znemožňuje, nebo alespoň ztěžuje čtení. V některých případech lze data dekódovat zpět do podoby čitelné pro člověka, ale v jiných případech byla zakódovaná data již náhodná a nepřinesou srozumitelné výsledky. Burp obsahuje nástroj nazvaný „Decoder“, který pomáhá dekódovat data, abyste viděli, co říkají, nebo jestli neobsahují data čitelná pro člověka.
Jak dekódovat data
Chcete-li přidat data do dekodéru, můžete je buď napsat ručně, vložit ze schránky, nebo na ně můžete kliknout pravým tlačítkem na kartách Cíl, Proxy, Narušitel nebo Opakovač a kliknout na „Odeslat do dekodéru“. Můžete to udělat s celými požadavky; obecně však bude užitečnější omezit jej pouze na data, která chcete dekódovat, a to tak, že je před kliknutím pravým tlačítkem myši zvýrazníte.
Jakmile máte data v dekodéru, můžete je dekódovat kliknutím na tlačítko „Dekódovat jako“ vpravo a výběrem schématu kódování, které podle vás používá. Všechny možnosti budou fungovat pro jakýkoli vstup, ale nemusí produkovat tisknutelné znaky, což obecně znamená, že nepoužíval toto kódování nebo že data byla pouze náhodně vygenerována.
Můžete si vybrat mezi kódováními Plain, URL, HTML, Base64, ASCII hex, Hex, Octal, Binary a Gzip. Vyberte jednu z nich z rozevíracího seznamu a Burp zobrazí výstup v novém poli níže. Nový box přichází s vlastní sadou identických ovládacích prvků, takže pokud zjistíte, že výstup je stále zakódovaný, můžete jej znovu dekódovat, i když je typ dekódování jiný. Pokud například dekódujete řetězec Base64 a najdete jiný řetězec Base64, můžete dekódovat i ten.
Tip: Můžete řetězit dohromady mnoho úrovní dekódování; nejste omezeni pouze na jednu nebo dvě fáze.
Jak kódovat data
Decoder můžete také použít ke kódování dat ve všech dostupných metodách kódování kliknutím na „Kódovat jako“ a výběrem metody kódování. To je užitečné, pokud potřebujete dekódovat řetězec, upravit jej a poté jej znovu zakódovat, abyste vložili změnu do webového požadavku.
Tip: Kódování není příliš chytré; například alfanumerické znaky nemusí být kódovány v adresách URL, protože jsou to platné znaky, ale kodér adresy URL zakóduje každý znak.
Můžete také vygenerovat hash řetězce kliknutím na „Hash“ a výběrem algoritmu. Burp nenabízí způsob, jak zvrátit hash, protože to není možné, protože hash jsou jednosměrné funkce.
Tip: S Dekodérem je možná jakákoli kombinace dekódování, kódování a hashování, ačkoli některé příkazy operací nedávají logický smysl.
Část řetězce v Decoderu můžete dekódovat, kódovat nebo hashovat tak, že ji zvýrazníte, než vyberete, jak se s ní má zacházet. To je užitečné, pokud máte dvě proměnné zakódované různými metodami.
Poznámka: Dekodér nepodporuje podkarty, takže můžete spravovat pouze jeden vstup najednou. Dávejte pozor, abyste před odesláním dalších dat do dekodéru zkopírovali výsledek procesu, pokud nejste v pořádku s jejich ztrátou.