أساسيات القرصنة على الويب wep applications الجزء السادس xss

 

لقد رأيت النظرية. حان الوقت الآن لبدء استخدام الوكيل لنفسك.

هناك طريقتان لتوكيل حركة المرور الخاصة بنا من خلال Burp Suite.

1. يمكننا استخدام المتصفح المضمن ( سنغطي هذا في مهمة لاحقة ).
2. يمكننا تكوين متصفح الويب المحلي الخاص بنا لتوكيل حركة المرور الخاصة بنا من خلال Burp ؛ هذا أكثر شيوعًا وبالتالي سيكون محور هذه المهمة.

---

يعمل Burp Proxy عن طريق فتح واجهة ويب 127.0.0.1:8080(افتراضيًا). كما يتضح من حقيقة أن هذا "وكيل" ، نحتاج إلى إعادة توجيه كل حركة مرور متصفحنا عبر هذا المنفذ قبل أن نبدأ في اعتراضه باستخدام Burp. يمكننا القيام بذلك عن طريق تغيير إعدادات المتصفح أو ، بشكل أكثر شيوعًا ، باستخدام امتداد متصفح Firefox يسمى FoxyProxy . يسمح لنا FoxyProxy بحفظ ملفات تعريف الوكيل ، مما يعني أنه يمكننا التبديل بسرعة وسهولة إلى ملف تعريف "Burp Suite" الخاص بنا في غضون نقرات ، ثم تعطيل الوكيل بنفس السهولة.

ملاحظة: سيتم تقديم جميع التعليمات مع وضع Firefox في الاعتبار ، حيث أن هذا هو المتصفح الافتراضي لكل من Kali Linux . إذا كنت تستخدم متصفحًا آخر محليًا ، يُنصح باستخدام AttackBox ، أو قد تحتاج إلى إيجاد طرق بديلة لتلك المقدمة في هذه المهمة. إذا لم تتمكن من تشغيل الوكيل في متصفحك المحلي ولا تريد استخدام AttackBox ، فقد ترغب في التخطي إلى مهمة متصفح Burp Suite.

---

يوجد إصداران من FoxyProxy : أساسي وقياسي . كلا الإصدارين يسمحان لك بتغيير إعدادات الوكيل الخاص بك بسرعة ؛ ومع ذلك ، يمنحك معيار FoxyProxy مزيدًا من التحكم في حركة المرور التي يتم إرسالها عبر الوكيل. على سبيل المثال ، سيسمح لك بتعيين قواعد مطابقة الأنماط لتحديد ما إذا كان الطلب يجب أن يكون وكيلًا أم لا: هذا أكثر تعقيدًا من الوكيل البسيط الذي يقدمه FoxyProxy basic.

النسخة الأساسية أكثر من كافية لاستخدامنا. تم تثبيته وتكوينه مسبقًا في متصفح Firefox الخاص بـ AttackBox ، لذلك إذا كنت تستخدم AttackBox ، فلا تتردد في التخطي إلى القسم الأخير من هذه المهمة.

إذا كنت تستخدم جهازك الخاص ، يمكنك تنزيل FoxyProxy Basic هنا .

بمجرد التثبيت ، يجب أن يظهر زر في الجزء العلوي الأيمن من الشاشة والذي يسمح لك بالوصول إلى تكوينات الوكيل:

لا توجد تكوينات افتراضية ، لذلك دعونا نضغط على الزر "خيارات" لإنشاء تهيئة Burp Proxy الخاصة بنا.

سيؤدي هذا إلى فتح علامة تبويب متصفح جديدة مع صفحة خيارات FoxyProxy:

انقر فوق الزر "إضافة" واملأ القيم التالية:

• العنوان: Burp(أو أي شيء آخر تفضله)
• IP الوكيل:127.0.0.1
• ميناء:8080
  

الآن انقر فوق "حفظ".

---

عندما تضغط على أيقونة FoxyProxy في الجزء العلوي من الشاشة ، سترى أن هناك تهيئة متاحة لـ Burp:

إذا نقرنا على تهيئة "Burp" ، فسيبدأ متصفحنا في توجيه كل حركة المرور لدينا من خلالها 127.0.0.1:8080. كن حذرًا : إذا لم يكن Burp Suite قيد التشغيل ، فلن يتمكن متصفحك من تقديم أي طلبات عند تنشيط هذا التكوين!

قم بتنشيط هذا التكوين الآن - يجب أن يتغير الرمز الموجود في القائمة للإشارة إلى أن لدينا وكيلاً قيد التشغيل:

بعد ذلك ، قم بالتبديل إلى Burp Suite وتأكد من تشغيل Intercept:

الآن ، حاول الوصول إلى الصفحة الرئيسية http://MACHINE_IP/في Firefox. يجب أن يتعطل المستعرض الخاص بك ، وسيتم ملء الخادم الوكيل برؤوس الطلبات.

تهانينا ، لقد اعترضت للتو طلبك الأول!

من هنا ، يمكنك اختيار إعادة توجيه الطلب أو إسقاطه. بدلاً من ذلك ، يمكنك إرسالها إلى أداة أخرى أو تنفيذ أي عدد من الإجراءات الأخرى عن طريق النقر بزر الماوس الأيمن على الطلب وتحديد خيار من قائمة النقر بزر الماوس الأيمن.

تذكر: أثناء اتصالك بالوكيل وتشغيل Proxy Intercept ، سيتوقف متصفحك كلما طلبت ذلك. خطأ شائع جدًا عندما تتعلم استخدام Burp Suite (وفي الواقع ، لاحقًا!) هو ترك التقاطع قيد التشغيل بطريق الخطأ ولن تتمكن ergo من تقديم أي طلبات ويب من خلال متصفحك. إذا كان متصفحك معلقًا ولا تعرف السبب: تحقق من الوكيل!

ملاحظة: تم تكوين AttackBox بالفعل لحل المشكلة المطروحة في هذه المهمة. إذا كنت تستخدم AttackBox ولا ترغب في قراءة المعلومات هنا ، فيمكنك التخطي إلى المهمة التالية.

---

رائع ، حتى نتمكن من اعتراض حركة مرور HTTP - ما التالي؟

لسوء الحظ ، هناك مشكلة. ماذا يحدث إذا انتقلنا إلى موقع تم فيه تمكين TLS؟ على سبيل المثال https://google.com/:

حصلنا على خطأ.

على وجه التحديد ، يخبرنا Firefox أن Portswigger C ertificate A (CA) غير مصرح لها بتأمين الاتصال.

لحسن الحظ ، يقدم لنا Burp طريقة سهلة للتغلب على هذا الأمر. نحتاج إلى جعل Firefox يثق في الاتصالات المؤمنة بشهادات Portswigger ، لذلك سنضيف شهادة CA يدويًا إلى قائمة مراجع التصديق الموثوق بها.

أولاً ، مع رئيس الوكيل المنشط إلى http: // burp / cert ؛ سيؤدي هذا إلى تنزيل ملف يسمى cacert.der- احفظه في مكان ما على جهازك.

بعد ذلك ، اكتب about:preferencesفي شريط بحث Firefox واضغط على إدخال ؛ يأخذنا هذا إلى صفحة إعدادات FireFox. ابحث في الصفحة عن "الشهادات" ونجد خيار "عرض الشهادات":

يتيح لنا النقر فوق الزر "عرض الشهادات" الاطلاع على جميع شهادات CA الموثوق بها. يمكننا تسجيل شهادة جديدة لـ Portswigger بالضغط على "استيراد" واختيار الملف الذي قمنا بتنزيله للتو.

في القائمة المنبثقة ، حدد "الوثوق بهذا المرجع المصدق للتعرف على مواقع الويب" ، ثم انقر على "موافق":

يجب أن نكون الآن أحرارًا في زيارة أي مواقع تم تمكين TLS لها!

يوضح الفيديو التالي عملية الاستيراد الكاملة:

إذا بدت المهام القليلة الأخيرة معقدة للغاية ، فكن مطمئنًا ، فسيكون هذا الموضوع أبسط كثيرًا.

بالإضافة إلى منحنا خيار تعديل متصفح الويب العادي الخاص بنا للعمل مع الوكيل ، يتضمن Burp Suite أيضًا متصفح Chromium المدمج الذي تم تكوينه مسبقًا لاستخدام الوكيل دون أي تعديلات كان علينا القيام به.

في حين أن هذا قد يبدو مثاليًا ، إلا أنه ليس شائعًا مثل العملية المفصلة في المهام القليلة السابقة. يميل الأشخاص إلى التمسك بالمتصفح الخاص بهم لأنه يمنحهم المزيد من التخصيص ؛ ومع ذلك ، كلاهما خياران صالحان تمامًا.

يمكننا بدء تشغيل متصفح Burp باستخدام زر "Open Browser" في علامة تبويب الوكيل:

ستظهر نافذة Chromium الآن. أي طلبات نقدمها في هذا سوف تمر عبر الوكيل.

ملاحظة: هناك العديد من الإعدادات المتعلقة بمتصفح Burp في خيارات المشروع وعلامات تبويب خيارات المستخدم - تأكد من إلقاء نظرة عليها!

---

إذا كنا نعمل على Linux كمستخدم أساسي (كما هو الحال مع AttackBox) ، فلن يتمكن Burp Suite من إنشاء بيئة آلية لبدء تشغيل متصفح Burp ، مما يتسبب في حدوث خطأ ويموت:

هناك حلان بسيطان لهذا:

• الخيار الذكي: يمكننا إنشاء مستخدم جديد وتشغيل Burp Suite تحت حساب امتياز منخفض.
• الخيار السهل: يمكننا الذهاب إلى الخيار Project options -> Misc -> Embedded Browserوالتحقق منه  Allow the embedded browser to run without a sandbox. تحديد هذا الخيار سيسمح للمتصفح بالبدء ، ولكن كن على علم بأنه معطل بشكل افتراضي لأسباب أمنية: إذا تعرضنا للاختراق باستخدام المتصفح ، فسيتمكن المهاجم من الوصول إلى جهازنا بالكامل. في بيئة التدريب في AttackBox ، هذا غير محتمل (وليس مشكلة كبيرة حتى لو حدث ذلك ) ، ولكن ضع ذلك في الاعتبار إذا جربت ذلك على تثبيت محلي لـ Burp Suite.

كن على علم أنك ستحتاج إلى القيام بذلك إذا كنت تستخدم المتصفح المضمن في AttackBox.

أخيرًا ، نأتي إلى أحد أهم أجزاء استخدام وكيل Burp: Scoping.

يمكن أن تصبح عملية التجشؤ مملة للغاية حيث يستحوذ التجشؤ على كل حركة المرور لدينا. عندما يسجل كل شيء (بما في ذلك حركة المرور إلى المواقع التي لا نستهدفها) ، فإنه يؤدي إلى تعكير السجلات التي قد نرغب في إرسالها لاحقًا إلى العملاء. باختصار ، السماح لـ Burp بالتقاط كل شيء يمكن أن يتحول بسرعة إلى ألم كبير.

ما هو الحل؟ تحديد النطاق.

يتيح لنا تحديد نطاق للمشروع تحديد ما يتم إنشاء وكيل له وتسجيله. يمكننا تقييد Burp Suite بحيث يستهدف فقط تطبيق (تطبيقات) الويب الذي نريد اختباره. أسهل طريقة للقيام بذلك هي التبديل إلى علامة التبويب "الهدف" ، والنقر بزر الماوس الأيمن على هدفنا من قائمتنا على اليسار ، ثم اختيار "إضافة إلى النطاق". سيسألنا Burp بعد ذلك عما إذا كنا نريد التوقف عن تسجيل أي شيء ليس في النطاق - في معظم الأوقات نريد اختيار "نعم" هنا.

يمكننا الآن التحقق من نطاقنا بالتبديل إلى علامة التبويب الفرعية "النطاق" (كما هو موضح في GIF أعلاه).

تتيح لنا علامة التبويب الفرعية "النطاق" التحكم في ما نستهدفه إما من خلال تضمين أو استبعاد المجالات / عناوين IP. هذا قسم قوي للغاية ، لذا من المفيد تخصيص بعض الوقت للاعتياد على استخدامه.

---

لقد اخترنا فقط تعطيل التسجيل لحركة المرور خارج النطاق ، ولكن الوكيل سيظل يعترض كل شيء. لإيقاف هذا ، نحتاج إلى الانتقال إلى علامة التبويب الفرعية "خيارات الوكيل" وتحديد " And URL Is in target scope" من قسم طلبات العملاء الاعتراضية:

مع تحديد هذا الخيار ، سيتجاهل الوكيل تمامًا أي شيء ليس في النطاق ، وينظف بشكل كبير حركة المرور القادمة من خلال Burp.

قد يكون التحكم في النطاق هو الجانب الأكثر فائدة في علامة التبويب "الهدف" ، ولكنه ليس بأي حال من الأحوال الاستخدام الوحيد لهذا القسم من التجشؤ.

هناك ثلاث علامات تبويب فرعية ضمن الهدف :

• تتيح لنا خريطة الموقع تحديد التطبيقات التي نستهدفها في هيكل شجرة. ستظهر كل صفحة نزورها هنا ، مما يسمح لنا بإنشاء خريطة موقع للهدف تلقائيًا عن طريق التصفح حول تطبيق الويب. سيسمح لنا Burp Pro أيضًا بتجسس الأهداف تلقائيًا (على سبيل المثال ، البحث في كل صفحة بحثًا عن روابط واستخدامها لرسم أكبر قدر ممكن من الموقع يمكن الوصول إليه للجمهور باستخدام الروابط بين الصفحات) ؛ ومع ذلك ، مع Burp Community ، لا يزال بإمكاننا استخدام هذا لتجميع البيانات أثناء تنفيذ خطوات التعداد الأولية الخاصة بنا.
  يمكن أن تكون خريطة الموقع مفيدة بشكل خاص إذا أردنا تخطيط واجهة برمجة تطبيقات ، حيث ستظهر هنا أي نقاط نهاية لواجهة برمجة تطبيقات تسترد منها الصفحة البيانات أثناء التحميل كلما زرنا صفحة.
• النطاق: لقد رأينا بالفعل علامة التبويب الفرعية Scope - فهي تتيح لنا التحكم في النطاق المستهدف لـ Burp للمشروع.
• تعريفات المشكلة: على الرغم من أننا لا نمتلك حق الوصول إلى أداة فحص الثغرات الأمنية Burp Suite في مجتمع Burp ، إلا أنه لا يزال لدينا إمكانية الوصول إلى قائمة بجميع نقاط الضعف التي تبحث عنها. يمنحنا قسم تعريفات المشكلات قائمة ضخمة من الثغرات الأمنية على الويب (كاملة مع الأوصاف والمراجع) والتي يمكننا الاستفادة منها إذا احتجنا إلى اقتباسات لتقرير أو للمساعدة في وصف ثغرة أمنية.

بعد النظر في كيفية إعداد وكيلنا وتكوينه ، دعنا ننتقل إلى مثال مبسط من العالم الحقيقي.

---

سنبدأ بإلقاء نظرة على نموذج الدعم على http://MACHINE_IP/ticket/:

في تطبيق الويب الواقعي pentest ، سنختبر هذا لمجموعة متنوعة من الأشياء: أحدها سيكون البرمجة النصية عبر المواقع (أو XSS). إذا لم تكن قد واجهت XSS بعد ، فيمكن اعتباره بمثابة حقن نص برمجي من جانب العميل (عادةً في Javascript) في صفحة ويب بطريقة يتم تنفيذها. هناك أنواع مختلفة من XSS - يُشار إلى النوع الذي نستخدمه هنا باسم XSS "المنعكس" لأنه يؤثر فقط على الشخص الذي يقدم طلب الويب.

هيا نبدأ.

حاول كتابة: <script>alert("Succ3ssful XSS")</script>في حقل "البريد الإلكتروني لجهة الاتصال". يجب أن تجد أن هناك عامل تصفية من جانب العميل يمنعك من إضافة أي أحرف خاصة غير مسموح بها في عناوين البريد الإلكتروني:

 

لحسن الحظ بالنسبة لنا ، من السهل تجاوز المرشحات من جانب العميل. هناك عدة طرق يمكننا من خلالها تعطيل البرنامج النصي أو منعه من التحميل في المقام الأول.

دعونا نركز ببساطة على تجاوز عامل التصفية في الوقت الحالي.

أولاً ، تأكد من أن وكيل Burp الخاص بك نشط وأن التقاطع قيد التشغيل

.

الآن ، أدخل بعض البيانات الشرعية في نموذج الدعم. على سبيل المثال: "pentester@example.thm" كعنوان بريد إلكتروني ، و "اختبار الهجوم" كاستعلام.

إرسال النموذج - يجب اعتراض الطلب من قبل الوكيل.

مع الطلب الذي تم تسجيله في الوكيل ، يمكننا الآن تغيير حقل البريد الإلكتروني ليكون حمولتنا البسيطة للغاية من الأعلى <script>alert("Succ3ssful XSS")</script>:. بعد اللصق في الحمولة ، نحتاج إلى تحديدها ، ثم ترميز URL Ctrl + Uبالاختصار لجعلها آمنة للإرسال. تظهر هذه العملية في GIF أدناه:

أخيرًا ، اضغط على الزر "Forward" لإرسال الطلب.

يجب أن تجد أنك تلقيت مربع تنبيه من الموقع يشير إلى هجوم XSS ناجح!

تهانينا ، لقد تجاوزت الفلتر!

لا تتوقع أن يكون الأمر سهلاً للغاية في الحياة الواقعية ، ولكن نأمل أن يمنحك هذا فكرة عن نوع الموقف الذي يمكن أن يكون فيه Burp Proxy مفيدًا.

لقد وصلنا الآن إلى نهاية  Burp Basics.

نأمل أن تمنحك فهمًا جيدًا لواجهة Burp Suite وخيارات التكوين ، بالإضافة إلى إعطائك معرفة عملية بـ Burp Proxy.

يُنصح بتجربة هذه الأسس حتى تشعر بالراحة التامة معها. Burp Suite هي أداة لا تقدر بثمن في ترسانة pentester على الويب أو تطبيقات الهاتف المحمول. سنقوم بالبناء على هذه المهارات