[Burp Suite 完整教學] Find comments 當個乖寶寶好好寫註解,我看你是沒有遇過壞人

在我們學習寫程式的時候,
不管是甚麼是學甚麼程式,
在學習過程中可能常常都會學到,
寫程式的過程中要好好的寫註解,
不過呢…
自己寫程式註解寫好寫滿當然是件好事情,
不過如果今天你的程式是上線的應用程式的話~
註解當中滿滿的資訊赤裸裸地攤開給大家看,那可能就不太好了。

今天講的是Burp當中一個還算不錯的功能,
但主要還是強調的是去發現與觀察註解這件事情,
這是做安全測試的一個知識,一個技巧,
基本上這是網站弱點掃描工具不能掃出來的風險,
即使可以找到註解,也沒辦法利用工具幫你判斷嚴重程度的風險,
有可能嚴重到直接讓你入侵伺服器,也有可能根本沒屁用。

這邊會強調的當然是HTML與JS的註解,
畢竟這兩個是前端的內容,所以你的註解一定也是會讓使用者可以看到的。

一般來說查看註解方式,
也就是透過瀏覽器F12去查看,或是右鍵檢視網頁原始碼。
如果用Burp的話,當然也是可以從Response當中去手動觀察。

在Burp當中其實有個功能可以更快速的幫你去標示出註解,
在Target -> Site map 的左側區塊的,
針對想要找到註解的網站、節點、頁面,直接點選右鍵,
在Engagement tools -> Find comments,
點下去就可以發現他會幫你抓出每個頁面中的註解內容,
如果點選到Response的欄位的話,
也可以看到他幫你把註解highlight起來,是不是很不錯阿~

還有其實也可以點選右上角的Export comment,
有一些進階選項可以讓你把註解複製到剪貼簿或是輸出到檔案,
或是有遇到有許多頁面當中都有大量的註解,
可能會派上用場,就是都抓下來再去做分析之類。

對了,說到這邊其實好像忘了提到為什麼要這麼在意註解。
通常是有下列幾項原因

  1. 註解當中寫清楚每一段程式碼的功能與用途
    滲透測試過程了解整個網站運作流程與邏輯其實是滿重要的,
    如果註解寫清楚不僅僅可以幫助規劃測試,
    有時候某些參數如果沒寫註解根本就不知道用意的,
    也有可能透過註解就看出來了~
  2. 註解當中洩漏開發人員、開發框架、框架版本、更新日期等等資訊
    簡單來說,也是可以利用這些資訊進一步進行攻擊的規劃。
  3. 洩漏機敏資訊
    這個也是不罕見的事情,譬如直接註解中看到相關網站URL,
    比較嚴重就是裡面有後台的連結或是與帳號密碼相關的資訊。

諸如此類等等的...

還有幾個差不多的功能就在這邊順邊提一下,
其實可以注意到在Find comments的下方,
還有Find comments與Find references這兩個功能,
使用方法與用途基本上都差不多,都算是針對網站的資訊蒐集,
盡可能地去找到任何有用的資訊來協助策劃進一步攻擊。

今天就介紹到這邊啦!
再撐一天又要放連假了:D

本系列的文章為作者參與第 12 屆 iT 邦幫忙鐵人賽的文章修改
原文連結
 https://ithelp.ithome.com.tw/users/20114110/ironman/3806

發佈留言