Pentesting di applicazioni Web con stringhe univoche in URL

Question

Pentesting di applicazioni Web con stringhe univoche in URL

#1 da (5 voti)
#2 da (0 voti)

1

Vorrei avere i tuoi pensieri / input su quale approccio adottare per eseguire test di penetrazione su un'applicazione web con stringhe univoche aggiunte in ogni richiesta HTTP. Ogni risposta dal server viene fornita con un token univoco che viene quindi aggiunto (dallo script lato client) a ogni richiesta effettuata da tale pagina. Ciò significa che la ripetizione o lo sfarfallio con la suite di burp non è un'opzione in quanto l'applicazione lancia gli utenti con richieste ripetitive o stringhe non valide.

web-application penetration-test burp-suite

posta iSRC 25.10.2017 - 07:22

fonte

2 risposte

Leggi altre domande sui tag web-application penetration-test burp-suite

Quanto è sicuro questo approccio di autenticazione rispetto all'hash? In che modo l'utente ottiene l'accesso per accedere quando le password sono memorizzate in MD5?

score 5 · Answer 1

Burp supporta le macro e le regole di gestione della sessione progettate per far fronte a questo tipo di situazione. Ad esempio, è possibile configurare una macro che recupera un token nuovo e una regola che aggiorna la richiesta corrente. Questo può essere usato con tutti gli strumenti di Burp, inclusi Intruder e Scanner. Sono disponibili ulteriori informazioni qui .

Le regole integrate non possono aggiornare i token nell'URL. Tuttavia, l'estensione Custom Parameter Handler ti consente di farlo.

Può essere un po 'difficile da configurare, ma è possibile configurare le regole della sessione di lavoro per la maggior parte dei siti. Hai anche la possibilità di codificare la tua estensione.

_{Affiliazione: Burp Suite è un nostro prodotto commerciale.}

score 0 · Answer 2

Il mio approccio a questo

Scrivi una rapida applicazione per "indicizzare" il sito, utilizzando la tua lingua di sviluppo preferita ed esportalo in un file CSV e quindi importalo nel tuo fuzzer come un insieme di URL da testare.

Se non si dispone di competenze di sviluppo, è necessario trovare uno strumento o uno sviluppatore di terze parti per aiutare.