Pri testovaní webových stránok na bezpečnostné problémy je jednou z hlavných vecí, pre ktoré musíte mať oči otvorené, interakcie používateľov. Používateľská interakcia je akákoľvek akcia, ktorá zahŕňa spracovanie webovej stránky formou akcie používateľa. Môže to byť buď v JavaScripte v prehliadači používateľa, alebo v interakciách so serverom, ako je napríklad formulár PHP. Ďalším zdrojom problémov sú premenné, ktoré nemusia priamo vyplývať zo vstupu používateľa a namiesto toho riadia iný aspekt stránky.
Intruder je navrhnutý ako nástroj na automatizáciu testovania akéhokoľvek potenciálneho zdroja zraniteľnosti. Rovnako ako v prípade iných vstavaných nástrojov, ako je napríklad Repeater, môžete požiadavku, ktorú chcete upraviť, poslať Intruderovi cez ponuku kliknutím pravým tlačidlom myši. Odoslané požiadavky budú potom viditeľné na karte Votrelec.
Poznámka: Používanie Burp Suite Intruder na webovej stránke, na ktorú nemáte povolenie, môže byť podľa rôznych zákonov o zneužívaní počítačov a hackeroch trestným činom. Pred vyskúšaním sa uistite, že máte povolenie od vlastníka webovej lokality.
Ako používať Intruder
Vo všeobecnosti nemusíte konfigurovať podkartu „Cieľ“ na karte Votrelec. Ak odošlete požiadavku, automaticky vyplní hodnoty, ktoré potrebujete na odoslanie požiadavky na správny server. Bolo by to skutočne užitočné len vtedy, ak chcete buď manuálne vytvoriť celú požiadavku, alebo ak chcete skúsiť vypnúť HTTPS.
Podzáložka „Pozície“ sa používa na výber miesta v požiadavke, do ktorej chcete vložiť užitočné zaťaženie. Burp automaticky identifikuje a zvýrazní čo najviac premenných, pravdepodobne však budete chcieť zúžiť útok iba na jeden alebo dva body vloženia naraz. Ak chcete vymazať vybrané body vloženia, kliknite na „Vymazať §“ na pravej strane. Ak chcete pridať body vloženia, zvýraznite oblasť, ktorú chcete zmeniť, a potom kliknite na „Pridať §“.
Rozbaľovacie pole typu útoku sa používa na určenie spôsobu doručenia užitočného zaťaženia. „Sniper“ používa jeden zoznam užitočného zaťaženia a zacieľuje na každý bod vloženia jeden po druhom. „Battering ram“ používa jeden zoznam užitočného zaťaženia, ale vkladá užitočné zaťaženie do všetkých bodov vloženia naraz. Pitchfork používa viacero užitočných zaťažení, každý vloží do príslušného očíslovaného vkladacieho bodu, ale vždy používa iba rovnaký očíslovaný záznam z každého zoznamu. „Cluster bomb“ používa podobnú stratégiu ako vidly, no skúša každú kombináciu
Podkarta „Užitočné zaťaženie“ sa používa na konfiguráciu požadovaných údajov. Typ užitočného zaťaženia sa používa na konfiguráciu spôsobu, akým špecifikujete užitočné zaťaženie. Sekcia nižšie sa líši v závislosti od typu užitočného zaťaženia, ale vždy sa používa na špecifikáciu hodnôt zoznamu užitočného zaťaženia. Spracovanie užitočného zaťaženia vám umožňuje upravovať užitočné zaťaženia pri ich odosielaní. V predvolenom nastavení adresa URL votrelca kóduje množstvo špeciálnych znakov, môžete to vypnúť zrušením začiarknutia políčka v spodnej časti stránky.
Podkarta „Možnosti“ vám umožňuje nakonfigurovať množstvo nastavení na pozadí skenera. Môžete pridať systémy na porovnávanie výsledkov založené na grep, ktoré vám pomôžu identifikovať kľúčové informácie zo zmysluplných výsledkov. V predvolenom nastavení Intruder nesleduje presmerovania, to je možné povoliť v spodnej časti podkarty.
Ak chcete spustiť útok, kliknite na „Začať útok“ v pravom hornom rohu ktorejkoľvek z podzáložiek „Narušiteľ“, útok sa spustí v novom okne. Pre bezplatnú edíciu „Community“ Burp je Intruder výrazne obmedzená, zatiaľ čo verzia Professional beží plnou rýchlosťou.