一文解决burp（3）中的Decoder、Comparer、Logger模块

免责声明

学习视频来自B 站 up 主泷羽 sec，如涉及侵权马上删除文章。

笔记的只是方便各位师傅学习知识，以下代码、网站只涉及学习内容，其他的都与本人无关，切莫逾越法律红线，否则后果自负。

burp中的Decoder、Comparer、Logger模块

Burp Suite中的Decoder是一个强大的编码解码工具，它能够将原始数据转换成各种编码和哈希格式，同时智能地识别多种编码格式。以下是关于Burp Decoder的详细介绍：

Decoder的功能

• 编码和解码：Decoder能够将原始数据转换成各种编码和哈希格式，如Base64、URL编码等。

• 智能识别：采用启发式技术，能够智能地识别多种编码格式。

• 连续编码解码：支持连续的编码解码操作，例如先Base64再URL编码。

Decoder的使用方法

• 通过右键菜单发送数据：在有请求的任意模块的右键菜单中选择Send to Decoder，或输入数据后选择相应的数据格式进行解码编码操作。

• 智能解码：直接点击Smart decoding进行智能解码。

• 多次编码解码转换：对于同一个数据，可以在Decoder的界面进行多次编码解码的转换。

解码选项，可以选择不同的编码方式（如Text、Hex、Plain、URL、HTML、Base64等）进行解码。

编码选项，可以选择不同的编码方式（如Text、Hex、Plain、URL、HTML、Base64等）进行解码。

Decoder的应用场景

• 分析加密文本：在Repeater中，可以从菜单中进行编码解码，这对于分析加密后的文本非常有用。

• 绕过WAF：通过编码转换，可以绕过Web应用防火墙的检测。

1. 数据内容：

   • 中间部分显示了一些待处理或已处理的数据条目，每个条目旁边可能有一些操作选项。

   • 例如，条目bGV5aW5zZWM=和6c6579696e736563可能是经过编码或其他处理的数据。

2. 解码选项：

   • 右侧有解码和编码的选项，包括Text、Hex、Decode as、Encode as、Hash等。

   • 用户可以选择不同的解码方式来查看数据的原始内容或进行进一步的处理。

注意事项

• 解码后的分析：解码后的数据需要进一步分析，以确定其真实含义和潜在的安全风险。

通过以上介绍，我们可以看到Burp Suite中的Decoder是一个非常实用的工具，它可以帮助安全测试人员更有效地分析和处理编码数据。

Burp Suite中的Comparer是一个强大的工具，主要用于对比分析两次数据之间的差异。以下是关于Comparer的详细介绍：

Comparer的功能

• 可视化差异比对：Comparer提供了一个可视化的界面，用于展示两次数据之间的差异。

• 数据加载方式：可以通过从其他Burp工具通过上下文菜单转发、直接粘贴或从文件加载三种方式加载数据。

• 差异分析：支持文本比较和字节比较，通过背景颜色高亮显示不同之处。

Comparer的使用方法

1. 数据加载：选择从其他Burp工具通过上下文菜单转发、直接粘贴或从文件加载数据。

2. 差异分析：选择文本比较或字节比较，Comparer会自动通过背景颜色显示数据的差异。

1. Comparer功能：

   • 功能描述：Comparer功能允许用户在不同数据之间进行字级或字节级的比较。用户可以加载、粘贴或从其他工具发送数据到这里，然后选择要进行的比较。

   • 数据选择：

     • Select item 1 和 Select item 2：用户可以在这里选择要进行比较的两项数据。

     • 每个数据项包含以下信息：

       • Length：数据的长度。

       • Data：具体的数据内容，例如HTTP请求。

2. 当前选中的数据：

   • Select item 1：

     • 数据1：长度为913，内容为GET请求到www.baidu.com的HTTP请求，包含Cookie信息。

     • 数据2：长度为515，内容为GET请求到www.sr.com的HTTP请求，包含User-Agent信息。

   • Select item 2：

     • 数据1：长度为913，内容与Select item 1中的数据1相同。

     • 数据2：长度为515，内容与Select item 1中的数据2相同。

3. 操作按钮：

   • Paste：粘贴数据。

   • Load：加载数据。

   • Remove：移除数据。

   • Clear：清除数据。

   • Compare：进行比较。

   • Words 和 Bytes：选择比较的单位（字或字节）。

Comparer的应用场景

• 枚举用户名：对比分析登录成功和失败时服务器端反馈结果的区别。

• 攻击测试：在使用Intruder进行攻击时，快速分析不同服务器端响应的差异。

• SQL注入测试：比较两次响应消息的差异，判断响应结果与注入条件的关联关系。

根据Burp Suite的比较器（Comparer）功能，这张图片展示了两个HTTP请求的对比。以下是对比的主要内容和差异：

1. 请求行：

   • 左侧请求：

     GET / HTTP/1.1
     Host: www.baidu.com
     

   • 右侧请求：

     GET /sqlilabs-master/Less-1/ HTTP/1.1
     Host: www.sr.com:8082
     

   差异：

   • 请求的路径不同：左侧是/，右侧是/sqlilabs-master/Less-1/。

   • 主机名不同：左侧是www.baidu.com，右侧是www.sr.com:8082。

2. 请求头：

   • Cookie：

     • 左侧请求包含一个较长的Cookie值。

     • 右侧请求没有Cookie头。

   • User-Agent：

     • 两侧的User-Agent相似，都是Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/128.0.6613.120 S。

   • Accept：

     • 两侧的Accept头相似，但具体内容可能略有不同。

   • Accept-Language：

     • 两侧的Accept-Language头相同，都是zh-CN,zh;q=0.9。

   • Accept-Encoding：

     • 两侧的Accept-Encoding头相同，都是gzip, deflate, br。

   • Referer：

     • 右侧请求包含Referer头，指向http://www.sr.com:8082/sqlilabs-master/。

     • 左侧请求没有Referer头。

   • Connection：

     • 两侧的Connection头相同，都是keep-alive。

   • Upgrade-Insecure-Requests：

     • 两侧的Upgrade-Insecure-Requests头相同，都是1。

   • Priority：

     • 右侧请求包含Priority头，值为u=0, i。

     • 左侧请求没有Priority头。

3. 其他差异：

   • 左侧请求包含一些安全相关的头（如Sec-Ch-Ua, Sec-Ch-Ua-Mobile, Sec-Ch-Ua-Platform, Sec-Fetch-Site, Sec-Fetch-Mode, Sec-Fetch-User, Sec-Fetch-Dest），而右侧请求没有这些头。

总结：

• 主要差异在于请求的路径、主机名、Cookie头和Referer头。

• 其他头信息大部分相似，但有一些细微的差异，如安全相关的头和Priority头。

这些差异可能是由于请求的目标网站不同、请求的上下文不同或者请求的具体需求不同所导致的。

注意事项

• 数据准备：确保加载的两组数据是相关的，以便进行有效的比较分析。

• 结果分析：仔细分析比较结果，以确定数据之间的具体差异，这有助于发现潜在的安全问题或漏洞。

Comparer是Burp Suite中不可或缺的工具，它通过可视化的方式帮助用户快速识别和分析数据之间的差异，从而提高安全测试的效率和准确性。

Burp Suite中的Logger是一个强大的工具，主要用于记录和分析Burp Suite在执行各种测试任务过程中产生的HTTP流量。它对于故障排查、会话管理分析、任务监控、深入分析和长期项目审计等方面具有显著价值。以下是关于Burp Suite中Logger的详细介绍：

Logger的功能

• 记录HTTP流量：Logger能够记录所有经过Burp Suite的HTTP请求和响应，包括由扩展生成的请求，如Intruder和Repeater等。

• 导出功能：支持导出为XML和CSV格式，方便后续分析和审计。

• 日志查看和过滤：提供详细的日志查看功能，并支持基于正则表达式的过滤规则，帮助用户快速定位和分析关键数据。

Logger的使用方法

• 安装Logger++插件：可以从Logger++的Github页面下载插件或从BApp Store安装。

• 设置记录选项：在选项设置中，可以设置需要记录日志的模块和日志量。

• 查看和分析日志：在View Logs中查看所有记录模块的日志，并根据需要设置过滤规则。

1. 时间戳：每条记录的时间戳显示在“Time”列中，记录了请求发生的具体时间。

2. 工具：所有记录的工具都是“Proxy”，表示这些请求是通过Burp Suite的代理功能捕获的。

3. 方法：所有请求的方法都是“GET”，表示这些是HTTP GET请求。

4. 主机：大部分请求的主机是“www.baidu.com”和“pss.bdstatic.com”，这表明这些请求主要是针对百度及其相关静态资源服务器的。

5. 路径：请求的路径列在“Path”列中，显示了具体的URL路径。例如，/static/superman/img/topn... 和 /www/cache/static/protoc... 等。

6. 查询参数：查询参数的数量列在“Query”列中，大部分记录的查询参数数量为0，只有少数记录有查询参数。

7. 状态码：所有请求的状态码都是200，表示这些请求都成功返回了响应。

8. 长度：响应的长度列在“Length”列中，显示了每个响应的字节数。

9. 启动响应计时器：启动响应计时器的值列在“Start response timer”列中，表示响应开始的时间。

10. 评论：目前没有填写任何评论。

总体来看，这些记录显示了在短时间内对百度及其相关资源的多次GET请求，所有请求都成功返回了200状态码，表明网络连接和服务器响应都很正常。

Logger的应用场景

• 故障排查与问题定位：通过审查记录的HTTP流量，深入了解问题发生的前因后果，帮助开发者快速识别和修复漏洞。

• 会话管理分析：跟踪请求与响应之间的交互，理解客户端和服务器之间的通信细节，发现会话管理中的潜在漏洞。

• 任务监控：持续记录流量，确保测试过程没有中断，并提供进度跟踪。

• 深入分析：分析应用程序会话令牌等随机性和不可预测数据项的生成和使用模式。

• 长期项目审计：提供历史记录功能，方便后期回顾和审计。

通过以上介绍，我们可以看到Burp Suite中的Logger是一个非常实用的工具，它可以帮助安全测试人员更有效地记录、分析和审计HTTP流量，从而提高测试的准确性和效率。

过滤器设置

在图片的右侧，有一个过滤器设置窗口，包含以下选项：

1. 过滤类型：

   • 按请求类型过滤（如GET）。

   • 按MIME类型过滤（如HTML、Script、XML、CSS等）。

   • 按状态码过滤（如2xx [success]、3xx [redirection]、4xx [request error]、5xx [server error]）。

   • 按工具过滤（如Target、Proxy、Scanner、Intruder等）。

2. 搜索项：

   • 可以输入正则表达式进行搜索。

   • 可以选择是否区分大小写。

   • 可以进行负面搜索。

3. 文件扩展名：

   • 只显示特定扩展名的文件（如asp,aspx,jsp,php）。

   • 隐藏特定扩展名的文件（如js,gif,jpg,png,css）。

4. 注释：

   • 只显示有注释的项目。

   • 只显示高亮显示的项目。

操作按钮

• Show all：显示所有项目。

• Hide all：隐藏所有项目。

• Revert changes：撤销更改。

• Convert to Bambda：转换为Bambda模式。

• Cancel：取消操作。

• Apply：应用过滤器。

• Apply & close：应用过滤器并关闭窗口。

右侧的列选择器显示了可以显示的其他信息，如工具、方法、协议、主机、端口、URL、路径、查询、参数计数、参数名称、状态码、长度、MIME类型、扩展名、页面标题、开始响应计时器、结束响应计时器、评论、连接ID等。

target

简单看一下target界面能读出不少信息，后面再详细介绍。

主要内容

1. 目标网站：

   • 多个URL指向不同的网站，包括百度、Mozilla的相关服务和其他一些站点。

2. 请求和响应：

   • 请求方法：GET

   • 请求URL：/sqlilabs-master/Less-1

   • 响应内容：虽然图片中没有显示具体的响应内容，但可以推测响应中可能存在一些安全问题。

3. 安全问题：

   • 未加密通信：应用程序可能存在未加密的通信问题。

   • 可框架化响应（Potential Clickjacking）：这是一个主要的关注点。具体信息如下：

     • 问题描述：应用程序应该返回一个名为X-Frame-Options的响应头，值为DENY以防止框架攻击，或者值为SAMEORIGIN以允许同源页面进行框架。

     • 修复建议：为了有效防止框架攻击，应用程序应在响应头中添加X-Frame-Options，并将其值设置为DENY或SAMEORIGIN。

参考资料

• Web Security Academy: Clickjacking

• X-Frame-Options

漏洞分类

• CWE-693: Protection Mechanism Failure

• CWE-1021: Improper Restriction of Rendered ULayers or Frames

• CAPEC-103: Clickjacking

其他信息

• 事件日志和内存使用情况：显示了Burp Suite的运行状态和内存使用情况。

总结

根据Burp Suite的分析，当前Web应用程序存在未加密通信和潜在的Clickjacking漏洞。建议开发人员在响应头中添加X-Frame-Options，并将其值设置为DENY或SAMEORIGIN，以防止框架攻击。此外，确保所有通信都使用加密协议（如HTTPS）以提高安全性。