Oggi ti mostro perché dovresti stare attento e controllare molto bene il web per evitare problemi. Vedremo come inviare richieste a un sito Web per acquistare un articolo non disponibile e poiché ci lascerai tramite Burp Suite, si tratta di un errore di pagina non controllando correttamente l'operazione.
NotaSi prega di notare quanto segue:
- Puoi fare molte altre cose oltre a questo esempio.
- Questa tecnica che mostro ti aiuterà a testare le tue pagine web e vedere se ha questi bug.
- L'unico scopo di questa dimostrazione è farti vedere i rischi che esistono e quanto sforzo avrà la tua azienda se le cose non vengono fatte bene dall'inizio.
È ora di iniziare il tutorial e vedere come gestire e inviare pacchetti a pagine web tramite Burp Suite.
Passo 1
Dobbiamo scaricare Burp Suite, dovrai avere java installato, per questo clicca qui.
SCARICA LA SUITE BURP
Passo 2
Esegui il file jar (Burp Suite) scaricato nel passaggio 1. Per fare ciò usiamo il seguente comando nel cmd o nel terminale (devi andare nella directory in cui si trova il file), dove dice file_name inserisci il file Burp Suite scaricato in passo 1 .
java -jar nomefileLa prima cosa che verrà fuori è accettare le condizioni, clicchiamo su Accetto.
Nella finestra successiva diamo Prossimo.
Nella schermata che apparirà ora puoi caricare le configurazioni o lasciarle per impostazione predefinita, le lascerò come vengono e clicchiamo Inizia Burp.
Quando il programma è aperto, fare clic sulla scheda proxy e nelle schede che vediamo di seguito scegliamo Opzioni. Qui configureremo un proxy in modo che tutto il traffico passi attraverso il programma.
Qui è dove dobbiamo configurare il proxy, quindi ti lascio alcune immagini della configurazione che devi avere.
INGRANDIRE
[color = # a9a9a9] Clicca sull'immagine per ingrandirla [/ color]
Il resto della configurazione (che non appare qui) è di default, come si trova in Burp Suite. Ora in modo che ogni pacchetto non venga intercettato andiamo alla scheda Intercettare e clicchiamo dove dice Le intercettazioni sono attive, in modo che rimanga come mostrato nell'immagine seguente:
Lo abbiamo già configurato.
Passaggio 3
Andiamo al nostro browser preferito e lo facciamo navigare in internet tramite il proxy che abbiamo configurato in precedenza (IP: 127.0.0.1, porta: 8080). Lo farò in Mozilla Firefox, dobbiamo inserire le opzioni, come vediamo nell'immagine seguente:
Si aprirà una nuova scheda, scegliamo Avanzate, e dentro Rete, lì faremo clic su Ambientazione:
Lo configuriamo come nell'immagine successiva e clicchiamo su Accettare:
Passaggio 4
Possiamo già navigare attraverso il proxy, quindi Burp Suite acquisirà già i pacchetti.
Navighiamo sul sito (nel mio caso un negozio online) e vediamo che non hanno tutte le taglie, in questo caso comprerò una taglia 38, e una 40, per vedere i dati dei pacchi che sono spedito.
Passaggio 5
Cerchiamo nella Burp Suite i pacchi inviati, per questo clicca sulla scheda ObbiettivoQuello che mi interessa vedere è la richiesta di acquisto, quindi guardiamo le spedizioni POST alla pagina che fa il "aggiungi al carrello", e lì indaghiamo quali parametri possono servirci.
NotaHo rimosso tutte le informazioni dall'URL sto facendo il proof of concept e parti della Burp Suite nelle acquisizioni, l'importante è iniziare a prendere sul serio la sicurezza.
Passaggio 6
Quando abbiamo il pacchetto desiderato e sappiamo cosa fare, lo selezioniamo, facciamo clic con il tasto destro del mouse e otterremo diverse opzioni, scegliamo Invia a ripetitore:
Vedremo che l'opzione di menu sopra chiamata ripetitore diventa arancione, facciamo clic su di esso e vedremo quanto segue:
INGRANDIRE
[color = # a9a9a9] Clicca sull'immagine per ingrandirla [/ color]
Se cambiamo i parametri qui, possiamo fare richieste al server che non sono consentite dal web (puoi anche consentire richieste), perché la pagina non è preparata per loro e non dovrebbero essere fatte, ma grazie a Burp Suite tu potrà cambiare.
In questo caso ho comprato diverse taglie, siccome voglio 36 che non è disponibile, compro 38, 40, e scopro che nei pacchi POST c'è un identificatore che cambia 2 numeri e guarda caso hanno a che fare con le taglie, guarda le 2 foto qui sotto:
Allora si Cambio la linea al pacco che invio al Ripetitore:
cartAction = aggiungi e pid = 04376540940Con il seguente:
cartAction = aggiungi e pid = 04376540936Aggiungerò la taglia 36 al carrello? Stiamo per testare, per inviare il pacchetto modificato (o non modificato) che diamo andare. Vediamo nell'immagine seguente come la richiesta è stata elaborata correttamente.
INGRANDIRE
[color = # a9a9a9] Clicca sull'immagine per ingrandirla [/ color]
Se vado sul sito Web e entro nel carrello, vediamo che il prodotto è stato aggiunto, ci mostra un messaggio per eliminarlo che non è disponibile, ma non dovrebbe consentire l'aggiunta.
Ora non posso fare clic sul pulsante per completare l'acquisto, il pulsante è grigio:
Per niente, facciamo clic con il tasto destro del mouse sul pulsante e facciamo clic su ispeziona elemento, cerchiamo l'opzione disabilitata del pulsante e la eliminiamo:
INGRANDIRE
[color = # a9a9a9] Clicca sull'immagine per ingrandirla [/ color]
Se ora clicchiamo sul pulsante, ci consente di completare l'acquisto, perché non fa altro che controllare dal lato client:
Qui l'unica cosa che è stata tentata è quella di sensibilizzare quando si programma una pagina web (non attaccare le pagine), poiché ci sono molti strumenti che ci rendono più facile fare cose che non dovrebbero essere fatte, in questo caso non ha molto senso comprare qualcosa che non ti spediranno, ma se molte persone lo fanno, l'azienda dovrà restituire i soldi, il che significa che i loro lavoratori dovranno dedicare tempo a questo e non potranno farlo altro lavoro.
Immagina se invece di aggiungere al carrello un articolo non disponibile, effettuiamo un acquisto a € 0 e prendiamo articoli del valore di € 1000. Questi fallimenti esistono su Internet e le aziende devono essere consapevoli e investire nella loro sicurezza, perché è possibile che questi fallimenti facilmente evitabili le portino al fallimento.
NotaTesta sempre i tuoi siti web e scopri i difetti che possono avere, con questa e altre tecniche, come l'SQL injection. Non aspettare che un attaccante li scopra.
Ti è piaciuto e hai aiutato questo Tutorial?Puoi premiare l'autore premendo questo pulsante per dargli un punto positivo
