Repeater e Intruder

Repeater e Intruder son las dos herramientas principales de Burp para realizar pruebas manuales. Repeater permite ajustar cuidadosamente una solicitud cada vez; Intruder permite realizar ataques automatizados y parametrizados.

Juntas cubren la mayor parte de las pruebas prácticas de aplicaciones web.

Repeater permite enviar la misma solicitud una y otra vez, editarla entre envíos y comparar las respuestas.

Es el banco de trabajo donde puede analizar manualmente un único endpoint.

Cambie una sola variable cada vez para poder atribuir cualquier cambio a la respuesta. Ajuste un parámetro, envíe la solicitud, observe el resultado y repita.

Este ciclo disciplinado es la forma de confirmar manualmente una vulnerabilidad.

Repeater conserva un historial de sus envíos. Utilice la comparación de respuestas para detectar diferencias sutiles entre las solicitudes.

Las diferencias en la longitud, el estado o el tiempo suelen revelar una vulnerabilidad.

Intruder automatiza el envío de muchas variaciones de una solicitud. Marque las posiciones de payload y proporcione listas de payloads; Intruder las sustituirá y enviará las solicitudes.

Es ideal para fuzzing, ataques de fuerza bruta y enumeración.

Intruder marca los puntos de inserción con marcadores de sección. Puede elegir exactamente qué partes de la solicitud se reemplazarán.

En este caso, el nombre de usuario y la contraseña están marcados para su sustitución.

Intruder ofrece cuatro tipos de ataque que controlan cómo se asignan los payloads a las posiciones.

• Sniper: un conjunto de payloads, una posición cada vez.
• Battering ram: el mismo payload en todas las posiciones.
• Pitchfork: conjuntos de payloads en paralelo.
• Cluster bomb: todas las combinaciones.

Los payloads pueden ser listas de palabras, números, fechas o valores generados. Para realizar un ataque de fuerza bruta contra un inicio de sesión, puede cargar una lista de nombres de usuario y otra de contraseñas.

Cluster bomb probará entonces cada nombre de usuario con cada contraseña.

La tabla de resultados muestra el código de estado, la longitud de la respuesta y el tiempo de cada solicitud. Ordene estas columnas para encontrar el valor atípico.

Un inicio de sesión que devuelve una longitud diferente o una redirección 302 suele ser el que ha tenido éxito.

Configure Intruder para hacer grep de las respuestas en busca de una cadena indicadora o para extraer un valor, como un token.

Esto marca automáticamente las respuestas interesantes y extrae datos de muchas solicitudes.

Intruder puede enviar miles de solicitudes. Limite la velocidad para no provocar una denegación de servicio y ataque únicamente sistemas que tenga autorización para probar.

La edición gratuita Community limita considerablemente la velocidad de Intruder; la edición Professional no lo hace.

Ha aprendido a utilizar las herramientas de ataque manual de Burp.

• Repeater: envía y edita una solicitud repetidamente y compara las respuestas.
• Intruder: automatiza payloads en posiciones marcadas.
• Tipos de ataque: sniper, battering ram, pitchfork y cluster bomb.
• Ordene los resultados por estado y longitud para encontrar valores atípicos.
• Utilice grep match/extract, limite la velocidad y manténgase dentro del ámbito.

A continuación, utilizará Scanner y las extensiones para automatizar las pruebas.