RepeaterとIntruder

リクエストを取得したら、2つのツールで試行できます。Repeaterは、1つのリクエストを送信し、変更して再送するという、慎重な手動テストに使います。Intruderは、パラメーターに対して多数のバリエーションを自動送信し、ファジングします。

HTTP履歴またはプロキシでリクエストを右クリックし、Send to Repeater（Ctrl+R）を選択します。タブが開き、左側で生のリクエストを編集し、右側でレスポンスを確認できます。

Repeaterは、一度に1つのパラメーターを調べるのに適しています。値を変更してSendを押し、レスポンスを比較します。Burpにはステータスコード、長さ、レスポンスタイムが表示されるため、意味のある違いを見つけられます。

レスポンスの微妙な変化から脆弱性が明らかになることがあります。ペイロードを挿入した後に長さが変わったり、新しいエラーメッセージが表示されたり、ステータスコードが変化したりした場合、SQLインジェクション、IDOR、アクセス制御の不備などの兆候である可能性があります。

自動化するには、リクエストを右クリックしてSend to Intruder（Ctrl+I）を選択します。Intruderはリクエストを何度も繰り返し、§マーカーで指定した位置にペイロードを置き換えて挿入します。

Positionsタブでは、Burpがパラメーターを自動的にマークします。自動で付けられたマークを消し、ペイロードを挿入する位置に独自の§§マーカーを正確に配置します。

Sniperは1つのペイロードセットを使い、マークした各位置を順番に1つずつ対象にします。1つのフィールドをファジングする場合に適しています。たとえば、ユーザー名が判明している場合のパスワードのブルートフォースなどです。

Cluster bombは複数のペイロードセットを使い、すべての組み合わせを試します。ユーザー名とパスワードの組み合わせを総当たりする場合に適しています。Pitchforkはインデックスに基づいてセットを組み合わせ、Battering ramは同じペイロードをすべての位置に挿入します。

Payloadsタブでは、ワードリストを読み込んだり、数値、ブルートフォース、日付などのペイロードを生成したりできます。ペイロード処理ルールを使うと、送信前に各ペイロードをハッシュ化、プレフィックス付加、URLエンコード、Base64エンコードできます。

ステータス、長さ、またはレスポンスタイムで結果を並べ替え、外れ値を見つけます。ログインに成功すると、失敗時と比べて異なる長さや302リダイレクトが返ることがよくあります。Grep - Matchを使うと、"Welcome"や"Invalid"を含むレスポンスにフラグを付けられます。

Community版ではIntruderに厳しいスロットリングが適用されます。実際のエンゲージメントでは、対象に過剰な負荷をかけたりロックアウトを回避したりしないよう、リソースプールのスロットリングを設定してください。積極的なファジングはサービス拒否を引き起こす可能性があるため、必ず許可された範囲と合意した制限を守ってください。

Burpの手動および自動のリクエストツールについて学びました。

• Repeater — 1つのリクエストを繰り返し変更し、レスポンスを比較する
• Intruder — ペイロードセットを使って、マークした§§位置をファジングする
• 攻撃タイプ：Sniper、Battering ram、Pitchfork、Cluster bomb
• ステータスや長さで並べ替え、Grep-Matchで該当結果を見つける

次はBurpの自動Scannerです。