Při testování webových stránek na bezpečnostní problémy je jednou z hlavních věcí, které je třeba mít otevřené, interakce uživatelů. Uživatelská interakce je jakákoli akce, která zahrnuje, že webová stránka zpracovává určitou formu uživatelské akce. To může být buď v JavaScriptu v prohlížeči uživatele, nebo v interakcích se serverem, jako je například formulář PHP. Dalším zdrojem problémů jsou proměnné, které nemusí přímo vyplývat z uživatelského vstupu a místo toho řídí jiný aspekt stránky.
Intruder je navržen jako nástroj pro automatizaci testování jakéhokoli potenciálního zdroje zranitelnosti. Stejně jako u jiných vestavěných nástrojů, jako je Repeater, můžete poslat požadavek, který chcete upravit, do Vetřelce prostřednictvím nabídky po kliknutí pravým tlačítkem. Odeslané požadavky pak budou viditelné v záložce Vetřelec.
Poznámka: Používání Burp Suite Intruder na webových stránkách, pro které nemáte povolení, může být podle různých zákonů o zneužívání počítačů a hackerství trestným činem. Než to zkusíte, ujistěte se, že máte povolení od vlastníka webu.
Jak používat Intruder
Obecně nemusíte konfigurovat podkartu „Cíl“ na kartě Vetřelec. Pokud odešlete požadavek, automaticky naplní hodnoty, které potřebujete k odeslání požadavku na správný server. Bylo by to opravdu užitečné, pokud chcete buď ručně vytvořit celý požadavek, nebo pokud chcete zkusit deaktivovat HTTPS.
Podzáložka „Positions“ se používá k výběru, kam v požadavku chcete vložit užitečné zatížení. Burp automaticky identifikuje a zvýrazní co nejvíce proměnných, ale pravděpodobně budete chtít zúžit útok pouze na jeden nebo dva body vložení najednou. Chcete-li vymazat vybrané body vložení, klikněte na „Vymazat §“ na pravé straně. Chcete-li přidat body vložení, zvýrazněte oblast, kterou chcete změnit, a klikněte na „Přidat §“.
Rozbalovací seznam typu útoku se používá k určení způsobu doručení užitečného zatížení. „Sniper“ používá jeden seznam užitečného zatížení a cílí na každý bod vložení jeden po druhém. „Battering ram“ používá jeden seznam užitečného zatížení, ale vkládá užitečné zatížení do všech bodů vložení najednou. Pitchfork používá více užitečných zatížení, každý vkládá do příslušného očíslovaného vkládacího bodu, ale vždy používá pouze stejně očíslovaný záznam z každého seznamu. „Cluster bomb“ používá podobnou strategii jako vidle, ale zkouší každou kombinaci
Dílčí záložka „Payloads“ se používá ke konfiguraci užitečného zatížení, o které se pokoušíte. Typ užitečného zatížení se používá ke konfiguraci toho, jak určujete užitečné zatížení. Níže uvedená část se liší v závislosti na typu užitečného zatížení, ale vždy se používá k určení hodnot seznamu užitečného zatížení. Zpracování užitečného zatížení vám umožňuje upravovat užitečné zatížení při jejich odesílání. Ve výchozím nastavení adresa URL vetřelce kóduje řadu speciálních znaků, což můžete zakázat zrušením zaškrtnutí políčka v dolní části stránky.
Podkarta „Možnosti“ umožňuje konfigurovat řadu nastavení na pozadí skeneru. Můžete přidat systémy porovnávání výsledků založené na grep, které vám pomohou identifikovat klíčové informace ze smysluplných výsledků. Ve výchozím nastavení Intruder nesleduje přesměrování, to lze povolit ve spodní části podkarty.
Chcete-li zahájit útok, klikněte na „Zahájit útok“ v pravém horním rohu kterékoli podzáložky „Vetřelec“, útok se spustí v novém okně. Pro bezplatnou „Community“ edici Burp je Intruder silně omezený, zatímco verze Professional běží plnou rychlostí.