Comment faire des requêtes indésirables sur un site Web avec Burp Suite

Aujourd'hui, je vous montre pourquoi vous devez être prudent et très bien vérifier le Web pour éviter les problèmes. Nous allons voir comment envoyer des demandes à un site Web pour acheter un article qui n'est pas disponible et comme vous allez nous quitter via Burp Suite, il s'agit d'un échec de page en ne vérifiant pas correctement l'opération.

NoterVeuillez noter ce qui suit :

• Vous pouvez faire beaucoup plus de choses en dehors de cet exemple.

• Cette technique que je montre vous aidera à tester vos pages Web et à voir si elles contiennent ces bogues.

• Le seul but de cette démonstration est que vous voyiez les risques qui existent et les efforts que votre entreprise devra fournir si les choses ne sont pas faites dès le départ.

Il est temps de commencer le tutoriel et de voir comment gérer et envoyer des colis vers des pages Web via Burp Suite.

Étape 1
Nous devons télécharger Burp Suite, vous aurez besoin d'avoir Java installé, pour cela cliquez ici.

TÉLÉCHARGER BURP SUITE

Étape 2
Exécutez le fichier jar (Burp Suite) téléchargé à l'étape 1. Pour ce faire, nous utilisons la commande suivante dans le cmd ou le terminal (Vous devez aller dans le répertoire où se trouve le fichier), où il est indiqué file_name mettez le fichier Burp Suite téléchargé dans étape 1 .

 java -jar nom de fichier

La première chose qui sortira est d'accepter les conditions, nous cliquons sur J'accepte.

Dans la fenêtre suivante, nous donnons Prochain.

Dans l'écran qui apparaîtra maintenant, vous pouvez charger des configurations ou les laisser par défaut, je les laisserai telles quelles, et nous cliquons Commencer le rot.

Lorsque le programme est ouvert, cliquez sur l'onglet Procuration et dans les onglets que nous voyons ci-dessous, nous choisissons Options. Ici, nous allons configurer un proxy pour que tout le trafic passe par le programme.

C'est là que nous devons configurer le proxy, puis je vous laisse quelques images de la configuration que vous devez avoir.

AGRANDIR

[couleur = #a9a9a9] Cliquez sur l'image pour l'agrandir [/couleur]

Le reste de la configuration (qui n'apparaît pas ici) est par défaut, tel qu'il vient dans Burp Suite. Maintenant pour que chaque paquet ne soit pas intercepté on passe à l'onglet Intercepter et nous cliquons là où il est dit Les interceptions sont activées, de sorte qu'il reste comme je le montre dans l'image suivante :

Nous l'avons déjà configuré.

Étape 3
Nous allons sur notre navigateur préféré et nous le faisons surfer sur internet via le proxy que nous avons configuré auparavant (IP : 127.0.0.1, port : 8080). Je vais le faire dans Mozilla Firefox, il faut entrer des options, comme on le voit dans l'image suivante :

Un nouvel onglet s'ouvrira, nous choisissons Avancée, et à l'intérieur Rapporter, là nous cliquerons sur Réglage:

Nous le configurons comme dans l'image suivante et cliquons sur Accepter:

Étape 4
Nous pouvons déjà naviguer à travers le proxy, donc Burp Suite capturera déjà les paquets.
On navigue sur le site (dans mon cas une boutique en ligne) et on voit qu'ils n'ont pas toutes les tailles, dans ce cas je vais acheter une taille 38, et un 40, pour voir les données des colis qui sont expédié.

Étape 5
Nous recherchons dans Burp Suite les colis envoyés, pour cela cliquez sur l'onglet CiblerCe qui m'intéresse, c'est la demande d'achat, donc nous regardons les envois POST vers la page qui fait le "ajouter au panier", et là nous cherchons quels paramètres peuvent nous servir.

NoterJ'ai supprimé toutes les informations de l'URL, je fais la preuve de concept et des parties de Burp Suite dans les captures, l'important est de commencer à prendre la sécurité au sérieux.

Étape 6
Lorsque nous avons le package souhaité et que nous savons quoi faire, on le sélectionne, on clique avec le bouton droit de la souris et nous aurons plusieurs options, nous choisissons Envoyer au répéteur:

Nous verrons que l'option de menu ci-dessus appelée Répétiteur devient orange, nous cliquons dessus et nous verrons ceci :

AGRANDIR

[couleur = #a9a9a9] Cliquez sur l'image pour l'agrandir [/couleur]

Si nous modifions les paramètres ici, nous pouvons faire des demandes au serveur qui ne sont pas autorisées depuis le Web (vous pouvez également autoriser les demandes), car la page n'est pas préparée pour elles, et elles ne devraient pas être faites, mais grâce à Burp Suite vous pourra changer.

Dans ce cas j'ai acheté plusieurs tailles, comme je veux du 36 qui n'est pas disponible, j'achète du 38, du 40, et je découvre que dans les colis POST il y a un identifiant qui change 2 chiffres et par hasard ils ont à voir avec les tailles, regardez les 2 photos ci-dessous :

Alors oui Je change la ligne du colis que j'envoie au Répéteur:

 cartAction = ajouter & pid = 04376540940

Par ce qui suit :

 cartAction = ajouter & pid = 04376540936

Vais-je ajouter la taille 36 au panier ? Nous allons tester, envoyer le colis modifié (ou non) que nous remettons Aller. Nous voyons dans l'image suivante comment la demande a été traitée correctement.

AGRANDIR

[couleur = #a9a9a9] Cliquez sur l'image pour l'agrandir [/couleur]

Si je vais sur le site Web et que je rentre dans le panier, nous voyons que le produit a été ajouté, il nous affiche un message pour le supprimer qu'il n'est pas disponible, mais il ne devrait pas permettre de l'ajouter.

Maintenant, je ne peux pas cliquer sur le bouton pour terminer mon achat, le bouton est gris :

Pour rien, on fait un clic droit sur le bouton et on clique sur inspecter l'élément, on cherche l'option désactivée du bouton et on l'élimine :

AGRANDIR

[couleur = #a9a9a9] Cliquez sur l'image pour l'agrandir [/couleur]

Si nous allons cliquer sur le bouton maintenant, cela nous permet de terminer notre achat, car cela ne fait que vérifier côté client :

Ici, la seule chose qui a été essayée est de sensibiliser lors de la programmation d'une page Web (pas pour attaquer des pages), car il existe de nombreux outils qui nous permettent de faire plus facilement des choses qui ne devraient pas être faites, dans ce cas, cela ne il est très logique d'acheter quelque chose qu'ils ne vous enverront pas, mais si beaucoup de gens le font, l'entreprise devra rembourser l'argent, ce qui signifie que leurs employés devront y consacrer du temps et ne pourront pas le faire autre travail.

Imaginez si au lieu d'ajouter un article indisponible au panier, on fait un achat pour 0€ et on prend des articles d'une valeur de 1000€. Ces défaillances existent sur internet et les entreprises doivent en être conscientes et investir dans leur sécurité, car il se peut que ces défaillances facilement évitables les conduisent à la faillite.

NoterTestez toujours vos sites Web et découvrir les défauts qu'ils peuvent avoir, avec cette technique et d'autres, telles que l'injection SQL. N'attendez pas qu'un attaquant les découvre.

Avez-vous aimé et aidé ce tutoriel ?Vous pouvez récompenser l'auteur en appuyant sur ce bouton pour lui donner un point positif