shikata ga nai

Private? There is no such things.

Burp Suite Intruder Attackについてかいてみた

Hello there, ('ω')ノ

 

OWASP BWAのVicnumを。

 

f:id:ThisIsOne:20210301133522p:plain

 

文字入力して動作確認を。

サーバの出力をサニタイズしている可能性があって。

入力フィールドを見つけて通常の入力をして、それが正しいことを確認して。

 

f:id:ThisIsOne:20210301133702p:plain

 

下記のように表示されて。

 

f:id:ThisIsOne:20210301133727p:plain


リクエストをIntruderへ。

 

f:id:ThisIsOne:20210301133851p:plain

 

ターゲットとなるパラメータを選択して。

 

f:id:ThisIsOne:20210301141123p:plain

 

PortSwiggerには、いろんなペイロードが用意されているのですが。

 https://portswigger.net/web-security/cross-site-scripting/cheat-sheet

 

f:id:ThisIsOne:20210301134642p:plain

 

今回は、下記のシンプルなもので。

 

<
>
"
'
(
)
+
<>
<x>
<img>
<iframe>
<script>
<+script>
<script/**/>
<ifraME>
<ScripPT>
<<SCRIPT>
%3c
%3e
%22
%27
%3b
;
#

 

f:id:ThisIsOne:20210301141500p:plain

 

最初に気付くのは、200の正常な応答すべてで。

はじめには、単なるベースラインリクエストであって。

覚えておきたいのは、エラーが発生した場合のベースラインリクエストの長さで。

エラーメッセージの長さは、ベースラインリクエストの長さによって異なるものの。

はるかに短い場合はベースラインリクエストの長さは通常エラーメッセージで。

エラーメッセージの長さとバイト数が300〜500文字程度だと。

すべてステータスコードは、200ではなく。

応答の長さがベースラインリクエストの長さを少し超えている場合だと。

送信した入力が反映されたことを示しており。

 

f:id:ThisIsOne:20210301141642p:plain

 

サニタイズされていない可能性があるので、JavaScriptの一部を入れて。

アラートを受け取ることができるかどうかを確認して。

下記のデータを入力すると。

 <script>alert(1)</script>

 

f:id:ThisIsOne:20210301141836p:plain

 

脆弱性を確認できて。

 

f:id:ThisIsOne:20210301141855p:plain

 

Best regards, (^^ゞ

ひとりひとりの自覚をもった行動で、医療従事者と保健所職員を助けよう。

f:id:ThisIsOne:20200404115457p:plain