Интенсивный Burp. Как использовать Burp Repeater на 100%

Итак, откры­вай Repeater и пог­нали!

Зап­рос в Repeater мож­но редак­тировать как угод­но, но обра­ти вни­мание на шес­терен­ку рядом с кноп­кой отправ­ки. В нас­трой­ках ты зада­ешь поведе­ние движ­ка, который соз­дает соеди­нение и шлет дан­ные на сер­вер. Эти опции спо­соб­ны испортить ата­ку, хотя кажут­ся абсо­лют­но бес­полез­ными.

Ес­ли пыта­ешь­ся про­вес­ти ата­ку HTTP request smuggling типа TE.CL, смысл опе­рации в том, что­бы спря­тать один зап­рос в теле дру­гого. При­мер ата­кующе­го зап­роса:

Прок­си‑сер­вер, на который при­дет зап­рос, ори­енти­рует­ся на заголо­вок Transfer-Encoding (TE) и пол­ностью игно­риру­ет Content-Length. Для него зап­рос раз­бит на чан­ки (chunked). Пер­вый чанк име­ет дли­ну 5e, то есть:

Ноль показы­вает, что цепоч­ка закон­чена. Тело зап­роса выг­лядит стран­но, но если нет WAF или пра­вила, которое отбра­сыва­ет подоб­ное тело, зап­рос прой­дет.

Сер­вер‑жер­тва, который пря­чет­ся за прок­си и счи­тает, что тот хорошо филь­тру­ет зап­росы, наобо­рот, ори­енти­рует­ся на CL, игно­рируя TE. Тебе важ­но, что­бы до конеч­ного сер­вера зап­рос дошел с Content-Length, рав­ным 4. Тог­да жер­тва порежет зап­рос на две час­ти по раз­меру Content-Length и обра­бота­ет оба. Пер­вый зап­рос:

Вто­рой:

Вто­рой зап­рос оста­нет­ся под­вешен­ным. Сер­вер ждет 15 байт, но получа­ет толь­ко x=1. В резуль­тате он ждет, ког­да при­дут осталь­ные бай­ты. Любой зап­рос, незави­симо от про­исхожде­ния, зак­роет этот завис­ший POST, и поль­зователь уви­дит ошиб­ку 404. Это еще не ата­ка, но уже под­твержде­ние, что уяз­вимость есть.

Для тес­та возь­мем лабу HTTP request smuggling, confirming a TE.CL vulnerability via differential responses. Задача: под­твер­дить, что веб‑при­ложе­ние уяз­вимо к кон­тра­бан­де зап­росов типа TE.CL.

За­пус­ти лабу и перех­вати зап­рос к /. Отправь его в Repeater, для уско­рения можешь выделить зап­рос и нажать Ctrl-R. В нас­трой­ках отклю­чи Update Content-Length. И вооб­ще все, что свя­зано с зап­росами HTTP/2. Для мно­гих атак с кон­тра­бан­дой зап­росов важ­но, что­бы вер­сия HTTP была 1.1.

Ес­ли ты видишь, что вер­сия зап­роса — 2, поменяй ее в Inspector спра­ва. Раз­верни меню Request attributes и клик­ни по HTTP/1.1. Не меняй вер­сию вруч­ную, это может запутать дви­жок.

При­веди зап­рос к такому виду:

В кон­це не забудь два раза нажать Enter, что­бы пра­виль­но завер­шить зап­рос. Жми Send или исполь­зуй сочета­ние кла­виш Ctrl-Space. Отправь зап­рос дваж­ды. Если уяз­вимость есть, вто­рая отправ­ка завер­шит завис­ший POST-зап­рос к /404, и в отве­те вер­нется:

Ес­ли не получи­лось, вклю­чи отоб­ражение спец­симво­лов (зна­чок \n над тек­стом зап­роса). В кон­це дол­жно быть:

Отправка группы запросов

Груп­пиров­ка зап­росов в Repeater — это не толь­ко удоб­ная и понят­ная орга­низа­ция, но и воз­можность парал­лель­но отпра­вить тон­ну зап­росов. Мас­совая отправ­ка нуж­на для мно­гих атак вро­де HTTP request smuggling и race condition. Эти ата­ки поз­воля­ют сло­мать логику при­ложе­ния и получить дос­туп к зак­рытым раз­делам или дос­тавить вре­донос­ный код.