Enviar una Solicitud a Intruder en Burp Suite

Introducción

Burp Suite Intruder es una herramienta potente para automatizar ataques personalizados contra aplicaciones web. Es extremadamente flexible y puede utilizarse para realizar una amplia gama de tareas, desde fuzzing simple hasta enumeración compleja.

El primer y más fundamental paso para usar Intruder es seleccionar una solicitud y enviarla a la herramienta para su configuración. En este laboratorio, aprenderá a capturar una solicitud que contenga parámetros utilizando el Proxy de Burp y luego enviarla a la herramienta Intruder. Esta es una habilidad fundamental para realizar cualquier tipo de ataque con Intruder.

Encontrar una Solicitud con Parámetros en el Historial del Proxy

En este paso, generará tráfico web enviando un formulario de inicio de sesión y luego localizará la solicitud resultante en el historial del Proxy de Burp Suite. Esta solicitud capturada será con la que trabajaremos.

Primero, generemos la solicitud.

1. Abra la aplicación Web Browser desde el escritorio o el menú de aplicaciones.
2. En la barra de direcciones del navegador, navegue a http://127.0.0.1:8000. Debería ver una página de inicio de sesión simple.
3. El formulario está pre-rellenado con testuser y testpass. Haga clic en el botón Submit.
4. El navegador mostrará "Invalid Credentials", lo cual es esperado. Lo importante es que ahora hemos enviado una solicitud POST con parámetros.

Ahora, encontremos esta solicitud en Burp Suite.

1. Cambie a la ventana de Burp Suite.
2. Haga clic en la pestaña Proxy.
3. Dentro de la pestaña Proxy, haga clic en la sub-pestaña HTTP history.
4. Verá una lista de todas las solicitudes que su navegador ha realizado a través de Burp. Busque la solicitud que muestre POST en la columna "Method" y /login en la columna "URL". Haga clic en ella para seleccionarla.

Una vez que seleccione la solicitud, podrá ver su contenido completo en los paneles inferiores, incluyendo los parámetros username y password que enviamos.

Haga clic derecho en la Solicitud y Seleccione 'Send to Intruder'

En este paso, enviará la solicitud capturada POST /login del historial del Proxy a la herramienta Intruder. Esta acción copia la solicitud a Intruder, donde podrá configurar un ataque.

1. Asegúrese de que la solicitud POST /login siga resaltada en la tabla Proxy > HTTP history.
2. Haga clic derecho en cualquier parte de la línea de esa solicitud para abrir el menú contextual.
3. En el menú contextual, mueva el cursor hacia abajo en la lista de opciones y haga clic en Send to Intruder.

Alternativamente, puede seleccionar la solicitud y usar el atajo de teclado Ctrl+I.

Después de hacer clic en "Send to Intruder", no verá un cambio inmediato en la pestaña Proxy, pero la pestaña principal Intruder en la parte superior de la ventana se pondrá naranja, indicando que ha recibido una nueva solicitud y está lista para su atención.

Navegar a la Pestaña Intruder > Positions

En este paso, navegará a la herramienta Intruder para ver la solicitud que acaba de enviar. La pestaña Positions es la vista predeterminada donde define qué partes de la solicitud se modificarán durante un ataque.

1. Observe las pestañas principales en la parte superior de la ventana de Burp Suite. Debería ver que la pestaña Intruder ahora está resaltada (típicamente en naranja).
2. Haga clic en la pestaña Intruder para cambiar a la herramienta Intruder.

Por defecto, se le llevará a la sub-pestaña Positions. Esta pantalla se divide en dos partes principales: la información del objetivo en la parte superior (Host y Port) y el editor de solicitudes debajo, que muestra la solicitud que envió desde el Proxy. Aquí es donde configurará los parámetros del ataque.

Observe las Posiciones de Carga Útil Identificadas Automáticamente

En este paso, examinará cómo Burp Suite identifica automáticamente las posibles posiciones de carga útil en la solicitud. Estas posiciones son los lugares donde Intruder insertará las cargas útiles durante un ataque.

Cuando se envía una solicitud a Intruder, Burp Suite la analiza automáticamente y adivina qué partes podría querer atacar. Marca estas partes como "posiciones de carga útil".

En la pestaña Intruder > Positions, observe el editor de solicitudes. Verá que los valores de los parámetros username y password están resaltados y rodeados por un símbolo especial: §.

El cuerpo de la solicitud se verá similar a esto:

username=§testuser§&password=§testpass§

Cada par de símbolos §...§ define una única posición de carga útil. Burp ha creado automáticamente dos posiciones aquí, una para el nombre de usuario y otra para la contraseña. En el lado derecho de la pantalla, puede ver que el "Attack type" (Tipo de ataque) está configurado como Sniper por defecto, lo que iteraría a través de las cargas útiles para una posición a la vez.

Esta autodetección es un punto de partida conveniente, pero para muchos ataques, querrá definir las posiciones manualmente.

Borrar Posiciones Predeterminadas Usando el Botón 'Clear §'

En este paso, aprenderá a borrar las posiciones de carga útil definidas automáticamente. Este es un paso crucial cuando desea configurar un ataque más específico, como probar solo el campo de contraseña en lugar de todos los parámetros.

A la derecha del editor de solicitudes, hay un conjunto de botones: Add §, Clear §, Auto § y Refresh.

1. Localice el botón Clear §.
2. Haga clic en el botón Clear §.

Después de hacer clic, verá que todos los resaltados y los símbolos § se han eliminado del editor de solicitudes. El cuerpo de la solicitud ahora se ve limpio, así:

username=testuser&password=testpass

La solicitud ahora está lista para que usted seleccione manualmente una parte específica de la solicitud (como solo el valor testpass) y utilice el botón Add § para definir su propia posición de carga útil personalizada. Esto le da control total sobre el ataque.

Resumen

En este laboratorio, ha aprendido con éxito los primeros pasos esenciales para usar Burp Suite Intruder.

Comenzó generando tráfico con un navegador web y localizando una solicitud POST específica en el historial de Proxy. Luego aprendió a enviar esta solicitud a la herramienta Intruder. Finalmente, observó cómo Burp Intruder marca automáticamente las posiciones de carga útil y cómo borrar estos valores predeterminados para prepararse para una configuración de ataque personalizada.

Dominar este flujo de trabajo es fundamental para aprovechar el poder de Burp Intruder en las pruebas de seguridad de aplicaciones web.