Enviar uma Solicitação para o Intruder no Burp Suite

Introdução

O Burp Suite Intruder é uma ferramenta poderosa para automatizar ataques personalizados contra aplicações web. É extremamente flexível e pode ser usado para realizar uma vasta gama de tarefas, desde fuzzing simples até enumeração complexa.

O primeiro e mais fundamental passo no uso do Intruder é selecionar um pedido (request) e enviá-lo para a ferramenta para configuração. Neste laboratório, você aprenderá como capturar um pedido contendo parâmetros usando o Burp Proxy e, em seguida, enviá-lo para a ferramenta Intruder. Esta é uma habilidade fundamental para realizar qualquer tipo de ataque com o Intruder.

Encontrar um Pedido com Parâmetros no Histórico do Proxy

Nesta etapa, você irá gerar tráfego web submetendo um formulário de login e, em seguida, localizar o pedido resultante no histórico do Proxy do Burp Suite. Este pedido capturado será aquele com o qual trabalharemos.

Primeiro, vamos gerar o pedido.

1. Abra a aplicação Web Browser (Navegador Web) a partir do desktop ou menu de aplicações.
2. Na barra de endereço do navegador, navegue até http://127.0.0.1:8000. Você deverá ver uma página de login simples.
3. O formulário está pré-preenchido com testuser e testpass. Clique no botão Submit (Enviar).
4. O navegador exibirá "Invalid Credentials" (Credenciais Inválidas), o que é esperado. A parte importante é que agora enviamos um pedido POST com parâmetros.

Agora, vamos encontrar este pedido no Burp Suite.

1. Mude para a janela do Burp Suite.
2. Clique na aba Proxy.
3. Dentro da aba Proxy, clique na sub-aba HTTP history (Histórico HTTP).
4. Você verá uma lista de todos os pedidos que o seu navegador fez através do Burp. Procure pelo pedido que mostra POST na coluna "Method" (Método) e /login na coluna "URL". Clique nele para selecioná-lo.

Uma vez que você selecionar o pedido, poderá ver o seu conteúdo completo nos painéis abaixo, incluindo os parâmetros username e password que submetemos.

Clicar com o Botão Direito no Pedido e Selecionar 'Send to Intruder'

Nesta etapa, você enviará o pedido POST /login capturado do histórico do Proxy para a ferramenta Intruder. Esta ação copia o pedido para o Intruder, onde você poderá então configurar um ataque.

1. Certifique-se de que o pedido POST /login ainda está destacado na tabela Proxy > HTTP history.
2. Clique com o botão direito em qualquer lugar na linha desse pedido para abrir o menu de contexto.
3. No menu de contexto, mova o mouse para baixo na lista de opções e clique em Send to Intruder (Enviar para Intruder).

Alternativamente, você pode selecionar o pedido e usar o atalho de teclado Ctrl+I.

Após clicar em "Send to Intruder", você não verá uma mudança imediata na aba Proxy, mas a aba principal Intruder no topo da janela ficará laranja, indicando que recebeu um novo pedido e está pronta para a sua atenção.

Navegar para a Aba Intruder > Positions

Nesta etapa, você navegará para a ferramenta Intruder para visualizar o pedido que acabou de enviar. A aba Positions (Posições) é a visualização padrão onde você define quais partes do pedido serão modificadas durante um ataque.

1. Olhe para as abas principais no topo da janela do Burp Suite. Você deverá ver que a aba Intruder está agora destacada (geralmente em laranja).
2. Clique na aba Intruder para mudar para a ferramenta Intruder.

Por padrão, você será levado para a sub-aba Positions. Esta tela é dividida em duas partes principais: as informações do alvo no topo (Host e Port) e o editor de pedidos abaixo, que mostra o pedido que você enviou do Proxy. É aqui que você configurará os parâmetros do ataque.

Observar as Posições de Payload Identificadas Automaticamente

Nesta etapa, você examinará como o Burp Suite identifica automaticamente potenciais posições de payload na solicitação. Essas posições são os locais onde o Intruder inserirá payloads durante um ataque.

Quando uma solicitação é enviada para o Intruder, o Burp Suite a analisa automaticamente e adivinha quais partes você pode querer atacar. Ele marca essas partes como "posições de payload".

Na aba Intruder > Positions, olhe para o editor de solicitação. Você verá que os valores dos parâmetros username e password estão destacados e cercados por um símbolo especial: §.

O corpo da solicitação se parecerá com isto:

username=§testuser§&password=§testpass§

Cada par de símbolos §...§ define uma única posição de payload. O Burp criou automaticamente duas posições aqui, uma para o nome de usuário e outra para a senha. No lado direito da tela, você pode ver que o "Attack type" (Tipo de Ataque) está definido como Sniper por padrão, o que iteraria através de payloads para uma posição de cada vez.

Esta autodeteção é um ponto de partida conveniente, mas para muitos ataques, você desejará definir as posições manualmente.

Limpar Posições Padrão Usando o Botão 'Clear §'

Nesta etapa, você aprenderá como limpar as posições de payload definidas automaticamente. Este é um passo crucial quando você deseja configurar um ataque mais direcionado, como testar apenas o campo de senha em vez de todos os parâmetros.

À direita do editor de solicitação, há um conjunto de botões: Add §, Clear §, Auto § e Refresh.

1. Localize o botão Clear §.
2. Clique no botão Clear §.

Após clicar nele, você verá que todos os destaques e os símbolos § foram removidos do editor de solicitação. O corpo da solicitação agora parece limpo, assim:

username=testuser&password=testpass

A solicitação está agora pronta para que você selecione manualmente uma parte específica da solicitação (como apenas o valor testpass) e use o botão Add § para definir sua própria posição de payload personalizada. Isso lhe dá controle total sobre o ataque.

Resumo

Neste laboratório, você aprendeu com sucesso os primeiros passos essenciais para usar o Burp Suite Intruder.

Você começou gerando tráfego com um navegador web e localizando uma solicitação POST específica no histórico do Proxy. Em seguida, aprendeu como enviar essa solicitação para a ferramenta Intruder. Finalmente, observou como o Burp Intruder marca automaticamente as posições de payload e como limpar esses padrões para se preparar para uma configuração de ataque personalizada.

Dominar este fluxo de trabalho é fundamental para aproveitar o poder do Burp Intruder para testes de segurança de aplicações web.