Repeater e Intruder

Una volta acquisita una richiesta, due strumenti consentono di sperimentare con essa. Repeater serve per test manuali accurati: invii una richiesta, la modifichi e la invii di nuovo. Intruder automatizza l'invio di molte varianti per eseguire il fuzzing dei parametri.

Dalla cronologia HTTP o dal proxy, faccia clic con il pulsante destro su una richiesta e scelga Send to Repeater (Ctrl+R). La richiesta viene aperta in una scheda, dove può modificare la richiesta non elaborata a sinistra e visualizzare la risposta a destra.

Repeater è ideale per analizzare un parametro alla volta. Modifichi un valore, prema Send e confronti le risposte. Burp mostra il codice di stato, la lunghezza e il tempo di risposta, così può individuare differenze significative.

Cambiamenti impercettibili nella risposta possono rivelare vulnerabilità. Una lunghezza diversa, un nuovo messaggio di errore o un codice di stato cambiato dopo l'iniezione di un payload spesso indicano SQL injection, IDOR o controlli di accesso non corretti.

Per automatizzare l'operazione, faccia clic con il pulsante destro e scelga Send to Intruder (Ctrl+I). Intruder ripete una richiesta molte volte, sostituendo i payload nelle posizioni contrassegnate con i marker §.

Nella scheda Positions, Burp contrassegna automaticamente i parametri. Li rimuova e inserisca i propri marker §§ esattamente nei punti in cui devono essere inseriti i payload.

Sniper usa un unico insieme di payload e prende di mira ogni posizione contrassegnata una alla volta. È ideale per eseguire il fuzzing di un singolo campo, ad esempio per effettuare il brute force di una password associata a un nome utente noto.

Cluster bomb usa più insiemi di payload e prova ogni combinazione: è ideale per testare coppie di nomi utente e password. Pitchfork abbina invece gli insiemi in base all'indice, mentre Battering ram inserisce lo stesso payload in tutte le posizioni.

La scheda Payloads carica wordlist o genera payload (numeri, brute force, date). Le regole di elaborazione dei payload possono applicare hash, aggiungere prefissi, eseguire la codifica URL o convertire in base64 ogni payload prima dell'invio.

Ordini i risultati per stato, lunghezza o tempo di risposta per individuare il valore anomalo. Un login riuscito restituisce di solito una lunghezza diversa o un reindirizzamento 302 rispetto ai tentativi non riusciti. Usi Grep - Match per segnalare le risposte contenenti "Welcome" o "Invalid".

L'edizione Community limita fortemente la velocità di Intruder. Negli incarichi reali, imposti la limitazione del resource pool per evitare di sovraccaricare il bersaglio e di attivare i blocchi. Un fuzzing aggressivo può causare una negazione del servizio — rimanga sempre nell'ambito autorizzato e nei limiti concordati.

Scelga il tipo di attacco Intruder più adatto.

Ha esplorato gli strumenti manuali e automatizzati di Burp per le richieste:

• Repeater — esegue iterazioni su una singola richiesta e confronta le risposte
• Intruder — esegue il fuzzing delle posizioni §§ contrassegnate con insiemi di payload
• Tipi di attacco: Sniper, Battering ram, Pitchfork, Cluster bomb
• Ordina per stato/lunghezza e usa Grep-Match per trovare le corrispondenze

Successivamente: lo Scanner automatizzato di Burp.