Guida completa a BurpSuite Intruder | ProvaHackMe Junior Penetration Tester

Intruder è lo strumento fuzzing integrato di Burp Suite che consente la modifica automatizzata delle richieste e test ripetitivi con variazioni nei valori di input. Utilizzando una richiesta catturata (spesso dal modulo Proxy), Intruder può inviare più richieste con valori leggermente modificati in base alle configurazioni definite dall'utente. Serve a vari scopi, come la forzatura bruta dei moduli di accesso sostituendo i campi nome utente e password con valori di un elenco di parole o eseguendo attacchi fuzzing utilizzando elenchi di parole per testare sottodirectory, endpoint o host virtuali. La funzionalità di Intruder è paragonabile a strumenti da riga di comando come Wfuzz O ffuff.

Tuttavia, è importante notare che mentre Intruder può essere utilizzato con Burp Community Edition, ha una velocità limitata, riducendo significativamente la sua velocità rispetto a Burp Professional. Questa limitazione spesso porta i professionisti della sicurezza a fare affidamento su altri strumenti per il fuzzing e la forzatura bruta. Tuttavia, Intruder rimane uno strumento prezioso e vale la pena imparare a utilizzarlo in modo efficace.

Ci sono quattro sottoschede all'interno di Intruder:

• Posizioni: questa scheda ci consente di selezionare un tipo di attacco (di cui parleremo in un'attività futura) e configurare dove vogliamo inserire i nostri payload nel modello di richiesta.
• Carichi utili: Qui possiamo selezionare i valori da inserire nelle posizioni definite nel file Posizioni scheda. Abbiamo varie opzioni di carico utile, come il caricamento di elementi da un elenco di parole. Il modo in cui questi payload vengono inseriti nel modello dipende dal tipo di attacco scelto nel file Posizioni scheda. IL Carichi utili La scheda ci consente inoltre di modificare il comportamento di Intruder riguardo ai payload, come definire regole di pre-elaborazione per ciascun payload (ad esempio, aggiungere un prefisso o suffisso, eseguire corrispondenze e sostituzioni o saltare payload in base a una regex definita).
• Pool di risorse: questa scheda non è particolarmente utile nella Burp Community Edition. Consente l'allocazione delle risorse tra varie attività automatizzate in Burp Professional. Senza accesso a queste attività automatizzate, questa scheda ha un'importanza limitata.
• Impostazioni: questa scheda ci consente di configurare il comportamento dell'attacco. Si occupa principalmente del modo in cui Burp gestisce i risultati e l'attacco stesso. Ad esempio, possiamo contrassegnare richieste contenenti testo specifico o definire la risposta di Burp per reindirizzare le risposte (3xx).