[Burp Suite 完整教學] Sequencer 分析你的 Session Cookie 與 Token 規律性

Sequencer這項功能是針對隨機的參數,
譬如說像是Session cookie或是Token進行分析,
分析其是否有規律性或是可預測的可能性。

是一個...很統計學的功能XD
老實說我很少使用這個功能,跟它很不熟。
我不常用的原因是這樣的,我個人的想法是這樣…
目前遇到的網站如果是具有(或是看似具有)變化性或隨機性的參數或Token,
大概會分成的兩種:
第一種是使用Framework或是第三方套件所產生的,
這種可預測性基本上都是沒辦法預測,隨機亂度夠高。
第二種就是開發人員自己寫,
這種裡面比較有可能可以用Sequencer找出一些有趣的點,
當然更多發現的漏洞,其實是更簡單的值,
連Sequencer這個功能都不需要就可以預測猜測出來。

不管如何~還是得介紹一下這項功能,
話不多說直接來進行實作,
因為找不到合適的範例,這邊就先用DVWA的湊合著用一下。

我們先選擇一個請求,點選右鍵送到Repeater,
接著把請求部分的session cookie移除,重送一次請求,
確認回應的部分有set-cookie之後再把這個請求送到Sequencer。

一般來說Burp在Sequencer就會自動判斷好要分析的參數,
如果沒有抓到,也可以手動利用Custom location右邊的Configure設定,
設定好我們要分析的參數,之後就可以按Select Live Capture直接開始。

這邊要注意!
分析過程會發送非常大量的請求.
所以建議不要對一般網站進行此項操作,
對自己的靶機練習就好了。

這邊的分析過程,
其實就是Sequencer會不斷的送出請求得到一個新的session cookie,
最後再把這一大堆session cookie做一些統計學的分析,
正因為如此,Sequencer的測試分析,是需要足夠的樣本數才可以有效果的。
這邊我讓他跑到1000個以上才按下暫停,按下Analyze now,
接下來我們就可以查看分析的結果如何。

這邊的分析結果就…自己有興趣再研究看看吧!
DVWA的這個session cookie其實亂度也是夠的,所以看不出甚麼有趣的東西。
但是如果偽隨機數算法比較弱的話,Session是可能會被預測的。

其實就這樣簡陋的帶過這個功能囉XD

本系列的文章為作者參與第 12 屆 iT 邦幫忙鐵人賽的文章修改
原文連結
 https://ithelp.ithome.com.tw/users/20114110/ironman/3806

發佈留言