Dziś pokażę Ci, dlaczego powinieneś być ostrożny i bardzo dobrze sprawdzać sieć, aby uniknąć problemów. Zobaczymy jak możesz wysłać prośby do strony internetowej o zakup przedmiotu, który nie jest dostępny a ponieważ zamierzasz opuścić nas przez Burp Suite, jest to awaria strony z powodu nieprawidłowego sprawdzenia operacji.
NotatkaZwróć uwagę na następujące kwestie:
- Oprócz tego przykładu możesz zrobić o wiele więcej rzeczy.
- Ta technika, którą pokażę, pomoże ci przetestować twoje strony internetowe i sprawdzić, czy zawierają te błędy.
- Jedynym celem tej demonstracji jest zobaczenie istniejącego ryzyka i tego, ile wysiłku włoży Twoja firma, jeśli coś nie zostanie zrobione od samego początku.
Czas rozpocząć samouczek i zobaczyć jak obsługiwać i wysyłać pakiety na strony internetowe za pomocą pakietu Burp Suite.
Krok 1
Musimy pobrać pakiet Burp Suite, musisz mieć zainstalowaną java, w tym celu kliknij tutaj.
POBIERZ PAKIET BURP
Krok 2
Uruchom plik jar (Burp Suite) pobrany w kroku 1. Aby to zrobić, używamy następującego polecenia w cmd lub terminalu (musisz przejść do katalogu, w którym znajduje się plik), gdzie jest napisane nazwa_pliku wstaw pobrany plik Burp Suite w krok 1 .
java -jar nazwa plikuPierwszą rzeczą, która wyjdzie, jest zaakceptowanie warunków, klikamy Akceptuję.
W kolejnym oknie dajemy Następny.
Na ekranie, który się teraz pojawi możesz wczytać konfiguracje lub zostawić je domyślnie, ja zostawię tak, jak przychodzą i klikamy Rozpocznij odbijanie.
Gdy program jest otwarty, kliknij kartę pełnomocnik a w zakładkach, które widzimy poniżej wybieramy Opcje. Tutaj skonfigurujemy proxy tak, aby cały ruch przechodził przez program.
W tym miejscu musimy skonfigurować proxy, a następnie zostawiam ci kilka obrazów konfiguracji, którą musisz mieć.
POWIĘKSZAĆ
[kolor = # a9a9a9] Kliknij obraz, aby powiększyć [/ kolor]
Reszta konfiguracji (która nie pojawia się tutaj) jest domyślnie taka, jak w pakiecie Burp Suite. Teraz, aby każdy pakiet nie został przechwycony, przechodzimy do zakładki Przechwycić i klikamy tam, gdzie jest napisane Przechwyty są włączone, aby pozostał tak, jak pokazano na poniższym obrazku:
Już to mamy skonfigurowane.
Krok 3
Wchodzimy do naszej preferowanej przeglądarki i sprawiamy, że surfuje po Internecie przez proxy które skonfigurowaliśmy wcześniej (IP: 127.0.0.1, port: 8080). Zamierzam to zrobić w Mozilla Firefox, musimy wprowadzić opcje, jak widać na poniższym obrazku:
Otworzy się nowa karta, wybieramy Zaawansowany, i w środku Internet, tam klikniemy Ustawienie:
Konfigurujemy to jak na następnym obrazku i klikamy Akceptować:
Krok 4
Możemy już poruszać się po proxy, więc pakiet Burp Suite już przechwyci pakiety.
Wchodzimy na stronę internetową (w moim przypadku sklep internetowy) i widzimy, że nie mają wszystkich rozmiarów, w tym przypadku mam zamiar kupić rozmiar 38 i 40, aby zobaczyć dane opakowań, które są wysłano.
Krok 5
Przeszukujemy pakiet Burp Suite w poszukiwaniu wysłanych paczek, w tym celu kliknij zakładkę CelTo, co mnie interesuje, to żądanie zakupu, więc patrzymy na przesyłki POST do strony, która powoduje "dodaj do koszyka", i tam sprawdzamy, jakie parametry mogą nam służyć.
NotatkaUsunąłem wszystkie informacje z adresu URL, w którym robię dowód koncepcji i części pakietu Burp Suite w przechwyconych, ważne jest, aby zacząć poważnie podchodzić do bezpieczeństwa.
Krok 6
Kiedy mamy upragniony pakiet i wiemy, co robić, wybieramy go, klikamy prawym przyciskiem myszy a dostaniemy kilka opcji, wybieramy Wyślij do repeatera:
Zobaczymy, że powyższa opcja menu nazywa się Przekaźnik zmienia kolor na pomarańczowy, klikamy na niego i zobaczymy:
POWIĘKSZAĆ
[kolor = # a9a9a9] Kliknij obraz, aby powiększyć [/ kolor]
Jeśli zmienimy tutaj parametry, możemy wysyłać do serwera żądania, które nie są dozwolone z sieci (możesz też zezwolić na żądania), ponieważ strona nie jest na nie przygotowana i nie należy tego robić, ale dzięki Burp Suite możesz będzie mógł się zmienić.
W tym przypadku kupiłem kilka rozmiarów, ponieważ chcę 36, które nie są dostępne, kupuję 38, 40 i odkrywam, że w paczkach POST jest identyfikator, który zmienia 2 liczby i przypadkowo mają one związek z rozmiarami, spójrz na 2 zdjęcia poniżej:
W takim razie tak Zmieniam linię na paczkę, którą wysyłam do Repeatera:
cartAction = dodaj i pid = 04376540940W następujący sposób:
cartAction = dodaj i pid = 04376540936Czy dodam rozmiar 36 do koszyka? Zamierzamy przetestować, aby wysłać zmodyfikowany (lub niezmodyfikowany) pakiet, który podamy Udać się. Na poniższym obrazku widzimy, jak żądanie zostało prawidłowo przetworzone.
POWIĘKSZAĆ
[kolor = # a9a9a9] Kliknij obraz, aby powiększyć [/ kolor]
Jeśli wejdę na stronę i wejdę do koszyka to widzimy, że produkt został dodany, pokazuje nam komunikat o jego usunięciu, że nie jest dostępny, ale nie powinno pozwalać na jego dodanie.
Teraz nie mogę kliknąć przycisku, aby zakończyć zakup, przycisk jest szary:
Na nic klikamy prawym przyciskiem myszy i klikamy na element inspekcji, szukamy wyłączonej opcji przycisku i eliminujemy ją:
POWIĘKSZAĆ
[kolor = # a9a9a9] Kliknij obraz, aby powiększyć [/ kolor]
Jeśli teraz klikniemy w przycisk, pozwala nam to dokończyć zakup, ponieważ nie robi nic poza sprawdzeniem po stronie klienta:
Jedyne, czego próbowano tutaj, to podnoszenie świadomości podczas programowania strony internetowej (a nie atakowanie stron), ponieważ istnieje wiele narzędzi, które ułatwiają nam robienie rzeczy, których nie należy robić, w tym przypadku nie ma sens kupowanie czegoś, czego ci nie wyślą, ale jeśli zrobi to wiele osób, firma będzie musiała zwrócić pieniądze, co oznacza, że ich pracownicy będą musieli poświęcić na to czas i nie będą w stanie tego zrobić inna praca.
Wyobraź sobie, że zamiast dodawać niedostępny przedmiot do koszyka, dokonujemy zakupu za 0 € i bierzemy przedmioty o wartości 1000 €. Te awarie istnieją w Internecie, a firmy muszą być świadome i inwestować w swoje bezpieczeństwo, ponieważ może się zdarzyć, że te łatwe do uniknięcia awarie doprowadzą je do bankructwa.
NotatkaZawsze testuj swoje strony internetowe i odkryj błędy, które mogą mieć, za pomocą tej i innych technik, takich jak wstrzykiwanie SQL. Nie czekaj, aż napastnik je odkryje.
Podobał Ci się i pomógł ten samouczek?Możesz nagrodzić autora, naciskając ten przycisk, aby dać mu pozytywny punkt
