Kun testaat verkkosivustoa tietoturvaongelmien varalta, yksi tärkeimmistä asioista, joille sinun on pidettävä silmäsi auki, on käyttäjien vuorovaikutus. Käyttäjän vuorovaikutus on mitä tahansa toimintoa, joka edellyttää, että verkkosivusto käsittelee tietynlaista käyttäjän toimintaa. Tämä voi olla joko käyttäjän selaimen JavaScriptissä tai vuorovaikutuksessa palvelimen kanssa, kuten PHP-lomakkeella. Toinen ongelman lähde ovat muuttujat, joiden ei tarvitse johtua suoraan käyttäjän syötteestä, vaan niiden ei tarvitse ohjata sivun toista osa-aluetta.
Intruder on suunniteltu työkaluksi mahdollisten haavoittuvuuslähteiden testaamisen automatisoimiseksi. Kuten muissakin sisäänrakennetuissa työkaluissa, kuten Repeater, voit lähettää muokattavan pyynnön Intruderille hiiren kakkospainikkeen valikon kautta. Lähetetyt pyynnöt näkyvät sitten Intruder-välilehdellä.
Huomautus: Burp Suite Intruderin käyttäminen verkkosivustolla, johon sinulla ei ole lupaa, voi olla rikos useiden tietokoneiden väärinkäyttöä ja hakkerointia koskevien lakien mukaan. Varmista, että sinulla on lupa verkkosivuston omistajalta ennen kuin yrität tätä.
Kuinka käyttää Intruderia
Sinun ei yleensä tarvitse määrittää "Target"-alivälilehteä Intruder-välilehdellä. Jos lähetät pyynnön, se täyttää automaattisesti arvot, jotka sinun on lähetettävä pyyntö oikealle palvelimelle. Se olisi todella hyödyllistä vain, jos haluat joko muokata koko pyynnön manuaalisesti tai jos haluat yrittää poistaa HTTPS: n käytöstä.
"Sijainnit"-alivälilehteä käytetään valitsemaan, mihin pyyntöön haluat lisätä hyötykuormia. Burp tunnistaa ja korostaa automaattisesti mahdollisimman monta muuttujaa, mutta todennäköisesti haluat rajata hyökkäyksen vain yhteen tai kahteen lisäyskohtaan kerrallaan. Tyhjennä valitut lisäyskohdat napsauttamalla oikealla puolella "Tyhjennä §". Lisää lisäyskohtia korostamalla alue, jota haluat muuttaa, ja napsauttamalla sitten "Lisää §".
Hyökkäystyypin pudotusvalikkoa käytetään määrittämään, kuinka hyötykuormat toimitetaan. "Sniper" käyttää yhtä hyötykuormaluetteloa ja kohdistaa kuhunkin lisäyskohtaan yksitellen. "Battering ram" käyttää yhtä hyötykuormaluetteloa, mutta lisää hyötykuorman kaikkiin syöttöpisteisiin kerralla. Pitchfork käyttää useita hyötykuormia, lisää jokaisen vastaavasti numeroituihin lisäyskohtaansa, mutta käyttää aina vain samaa numeroitua merkintää kustakin luettelosta. "Klusteripommi" käyttää samanlaista strategiaa kuin pippuri, mutta kokeilee jokaista yhdistelmää
"Hyötykuormat"-alivälilehteä käytetään yritettyjen hyötykuormien määrittämiseen. Hyötykuormatyyppiä käytetään määrittämään, kuinka määrität hyötykuormat. Alla oleva osio vaihtelee hyötykuormatyypin mukaan, mutta sitä käytetään aina hyötykuormaluetteloarvojen määrittämiseen. Hyötykuormien käsittelyn avulla voit muokata hyötykuormia sitä mukaa, kun niitä lähetetään. Intruder URL koodaa oletuksena useita erikoismerkkejä. Voit poistaa tämän käytöstä poistamalla valinnan sivun alareunasta.
"Asetukset"-alivälilehdellä voit määrittää useita skannerin taustaasetuksia. Voit lisätä grep-pohjaisia tuloshakujärjestelmiä, jotka on suunniteltu auttamaan sinua tunnistamaan tärkeimmät tiedot merkityksellisistä tuloksista. Oletuksena Intruder ei seuraa uudelleenohjauksia, tämä voidaan ottaa käyttöön alivälilehden alalaidasta.
Aloita hyökkäys napsauttamalla "Aloita hyökkäys" minkä tahansa "Intruder"-alivälilehden oikeasta yläkulmasta, hyökkäys käynnistyy uudessa ikkunassa. Burpin ilmaisessa "Community" -versiossa Intruder on voimakkaasti rajoitettu, kun taas Professional-versio toimii täydellä nopeudella.