Repeater to jedno z najpotężniejszych narzędzi wchodzących w skład Burp Suite, służące do ręcznego testowania i debugowania aplikacji webowych poprzez manipulację pojedynczymi żądaniami i odpowiedziami HTTP/S. Pozwala nam przyjmować żądania przechwycone w Burp Proxy i manipulować nimi, wysyłając je wielokrotnie, jeśli zajdzie taka potrzeba. Alternatywnie możemy ręcznie tworzyć żądania od zera. Zapewnia ono badaczom bezpieczeństwa i deweloperom kontrolę nad poszczególnymi interakcjami z aplikacją, co umożliwia dokładne testowanie i zrozumienie zachowania systemu w różnych scenariuszach.
Dołącz do szkolenia "Docker w 90 minut!"
Podczas szkolenia dowiesz się wszystkiego, co potrzebne, by wystartować z konteneryzacją. Poznasz podstawową obsługę Dockera. Nauczysz się 17 komend, które musi znać każda osoba działająca z kontenerami, Dockerem i Kubernetesem.
Widzimy się 12 września o 13:00!
Chcesz wziąć udział w szkoleniu? Zapisy na stronie: https://asdevops.pl/s42/
Funkcje Repeatera:
Interfejs użytkownika: Repeater oferuje intuicyjny interfejs użytkownika, który umożliwia łatwą nawigację i manipulację pojedynczymi żądaniami i odpowiedziami. Użytkownik może przeglądać szczegóły każdej interakcji, w tym nagłówki, treść żądania i odpowiedzi, a także parametry.
Zarządzanie sesją: Repeater automatycznie zarządza sesją, co oznacza, że wszystkie manipulacje wykonywane na żądaniach są zgodne z kontekstem bieżącej sesji. Dzięki temu użytkownik może skupić się na testowaniu bez konieczności ręcznego zarządzania sesją.
Historia operacji: Repeater przechowuje historię wszystkich wykonanych operacji, co ułatwia powtórzenie lub porównanie wcześniejszych testów. Użytkownik może również zapisywać i wczytywać sesje, co jest przydatne podczas długotrwałych testów.
Praktyczne wykorzystanie narzędzia Repeater
Na samym początku należy przechwytycić żądanie za pomocą modułu proxy, a następnie przesyłanie go do Repeatera.
Po przechwyceniu żądania w module Proxy możemy wysłać je do Repeatera. W tym celu należy kliknąć żądanie prawym przyciskiem myszy i wybierając opcję Wyślij do Repeatera, lub korzystając ze skrótu klawiaturowego Ctrl + R.
Interfejs Repeater składa się z sześciu głównych sekcji:
Lista Żądań: Umiejscowiona w lewym górnym rogu karty, wyświetla listę żądań Przekaźnika. Możemy zarządzać wieloma żądaniami jednocześnie, a każde nowe żądanie wysłane do Przekaźnika pojawi się tutaj.
Kontrole Żądania: Umieszczone bezpośrednio pod listą żądań, te kontrole pozwalają nam wysyłać żądanie, anulować oczekujące żądanie oraz nawigować po historii żądań.
Widok Żądania i Odpowiedzi: Zajmujący większość interfejsu, ten obszar wyświetla widoki Żądania i Odpowiedzi. Możemy edytować żądanie w Widoku Żądania, a następnie przekazać je do przodu, podczas gdy odpowiedź zostanie pokazana w Widoku Odpowiedzi.
Opcje Układu: Znajdujące się w prawym górnym rogu widoku Żądania/Odpowiedzi, te opcje pozwalają nam dostosować układ Widoku Żądania i Odpowiedzi. Domyślnie ustawiony jest układ obok siebie (poziomy), ale możemy również wybrać układ pionowy lub połączyć je w osobne karty.
Inspektor: Umieszczony po prawej stronie, Inspektor pozwala nam analizować i modyfikować żądania w sposób bardziej intuicyjny niż korzystanie z edytora surowego. Przeanalizujemy tę funkcję w późniejszym zadaniu.
Cel: Znajdujące się powyżej Inspektora, pole Celu określa adres IP lub domenę, do której są wysyłane żądania. Gdy żądania są wysyłane do Przekaźnika z innych komponentów Burp Suite, to pole jest automatycznie wypełniane.
W Repeater, możemy zauważyć, że przechwycone żądanie jest teraz dostępne w widoku żądania.
Zarówno sekcje Cel, jak i Inspektor wyświetlają teraz odpowiednie informacje, chociaż obecnie brakuje nam odpowiedzi. Po kliknięciu przycisku SEND widok odpowiedzi szybko się zapełnia.
Poniżej w powiekszeniu okno Response oraz Inspector. Okno Request już znamy z wcześniejszego slajdu.
Gdy pragniemy dokonać jakiejkolwiek modyfikacji w żądaniu, wystarczy edytować widok żądania i ponownie wysłać je. Taka operacja automatycznie odświeży widok odpowiedzi po prawej stronie, prezentując nowe informacje.
Dodatkowo, jeśli korzystasz z przycisków historii usytuowanych obok przycisku Wyślij, masz możliwość nawigacji po naszej historii modyfikacji. Dzięki nim możesz swobodnie przemieszczać się zarówno do przodu, jak i do tyłu, dostosowując się do aktualnych potrzeb.
Podsumowanie
Repeater wyróżnia się jako niezastąpione narzędzie w arsenale testerów penetracyjnych i profesjonalistów zajmujących się bezpieczeństwem. Jego wyjątkowość tkwi w zdolności do zarządzania wieloma żądaniami jednocześnie, precyzyjnej edycji oraz ponownego wysyłania żądań w celu testowania aplikacji pod kątem podatności. Dzięki Repeaterowi użytkownicy mogą śledzić historię swoich interakcji z aplikacją, eksplorować różne scenariusze ataku oraz skutecznie analizować i modyfikować żądania. Współpracując z innymi funkcjami Burp Suite, takimi jak Scanner, Intruder czy Spider, tworzy kompleksowe środowisko testowe. Umożliwia to wykrywanie i naprawę luk w zabezpieczeniach aplikacji oraz zapewniające pełny wgląd w jej bezpieczeństwo.
