Difference between revisions of "Brup Suite: Configuring a Burp Intruder Attack"

Latest revision as of 09:22, 13 February 2020

Sumber: https://support.portswigger.net/customer/portal/articles/1783129-configuring-a-burp-intruder-attack

Dengan menggunakan Brup Suite, anda bisa melakukan banyak hal. Salah satu yang menarik adalah intruder attack menggunakan Brup Suite. Menu UI untuk Intruder memungkinkan anda mengonfigurasi beberapa serangan secara bersamaan, masing-masing di tabnya sendiri. Ketika anda mengirim permintaan ke Intruder, masing-masing dibuka di tab bernomor sendiri. Setiap tab konfigurasi serangan berisi beberapa sub-tab yang digunakan untuk mengkonfigurasi serangan.

Informasi lebih detail tentang beberapa tautan yang ada ada di menu Intruder Brup Suite adalah sebagai berikut:

Target - Ini digunakan untuk mengonfigurasi detail server target untuk serangan tersebut.
Positions - Ini digunakan untuk mengkonfigurasi template permintaan untuk serangan, bersama dengan posisi muatan, dan jenis serangan (ini menentukan cara di mana muatan ditugaskan ke posisi payload).
Payloads - Ini digunakan untuk mengonfigurasi satu atau lebih set muatan, yang akan ditempatkan ke dalam posisi muatan selama serangan.
Options - Ini digunakan untuk mengkonfigurasi banyak opsi lain yang mempengaruhi serangan. Ini digunakan untuk mengonfigurasi satu atau beberapa set muatan, yang akan ditempatkan ke dalam posisi muatan selama serangan.

Cara termudah untuk membuat serangan Intruder baru adalah memilih permintaan dasar yang relevan dalam tool Burp. Untuk belajar kita dapat mensimulasi dengan peralatan sebagai berikut,

Kali Linux
LAN
Server DVWA

Langkah yang cukup praktis untuk di ikuti adalah sebagai berikut,

Aktifkan Burp Suite digunakan sebagai proxy. Pastikan menu Proxy | Intercept | Intercept is on.

Cek melalui menu Proxy | Options. IP address dan port yang digunakan untuk Burp Suite Proxy. Biasanya 127.0.0.1 poprt 8080.

Pastikan Browser client yang kita gunakan menggunakan Proxy 127.0.0.1:8080, pada Firefox Kali Linux bisa di cek pada Preferences | Advanced | Network | Connection | Manual Proxy Configuration

Lakukan browsing seperti layaknya serangan melalui Web. Pada kesempatan ini, kita hanya akan mencoba mencek apakah web tersebut (dalam hal ini DVWA) bisa di lakukan SQL Injection. Hal ini di lakukan dengan memasukan parameter misalnya

%' OR '0'='0
1' OR '1'='1
%' OR '2'='2
dsb

Tampilan di menu Proxy | Intercept adalah sebagai berikut

Untuk memudahkan dalam memasukan serangan baru pada tab "Intruder", buka Proxy History atau Target Site Map. Klik kanan pada request serangan yang berhasil di catat / tertangkap Proxy History. Gunakan opesi "Send to Intruder".

Ini akan membuat tab serangan baru dalam tab "Intruder", dan secara otomatis mengisi tab Target dan Position dengan detail yang relevan akan permintaan dasar. Anda kemudian dapat memodifikasi posisi muatan otomatis jika diperlukan, dan mengonfigurasi muatan yang sesuai dan opsi serangan lainnya.

Anda dapat melihat bahwa Burp otomatis membuat perkiraan di mana anda ingin memposisikan payload. Secara default, payload ditempatkan ke dalam nilai semua parameter permintaan dan cookie. Setiap pasangan penanda muatan menentukan posisi muatan tunggal, dan dapat menyertakan beberapa teks dari permintaan dasar, yang akan diganti dengan isi muatan saat posisi muatan digunakan.

Khusus untuk serangan ke DVWA SQL Injection. Menggunakan menu Intruder | Positions kita bisa membuat sebagian besar parameter menjadi permanen, kecuali id= yang kita inject. Oleh karenanya kita ubah %25%27 dst menjadi parameter 1 yang nanti akan kita ubah2.

Melalui menu Intruder | Payloads kita dapat "Add" dan "Clear" payload marker. Add beberapa payload untuk serangan, seperti,

%' OR '0'='0
%' OR '1'='1
%' OR '2'='2
%' OR '3'='3
%' OR '4'='4
dsb

Lakukan serangan melalui menu Intruder | Start Attack. Akan keluar Intruder Attack | Result.

Klik pada salah satu Result | Responds | Render kita akan melihat hasil serangan yang terjadi. Kebetulan yang kita serang disini adalah DVWA jadi confirm mengeluarkan reaksi bahwa bisa di lakukan SQL Injection.

Referensi

https://support.portswigger.net/customer/portal/articles/1783129-configuring-a-burp-intruder-attack

Pranala Menarik

Burp Suite

@@ Line 33: / Line 33: @@
 [[File:Screenshot from 2018-05-06 11-37-25.png|center|200px|thumb]]
-* Lakukan browsing seperti layaknya serangan melalui Web. Pada kesempatan ini, serangan yang dilakukan adalh
+* Lakukan browsing seperti layaknya serangan melalui Web. Pada kesempatan ini, kita hanya akan mencoba mencek apakah web tersebut (dalam hal ini DVWA) bisa di lakukan SQL Injection. Hal ini di lakukan dengan memasukan parameter misalnya
+ %' OR '0'='0
+' OR '1'='1
+ %' OR '2'='2
+ dsb
-(seperti Proxy History atau Target Site Map). Klik kanan pada permintaan yang relevan dan gunakan opsi "Send to Intruder" di menu konteks.
+[[File:Screenshot from 2018-05-06 11-38-54.png|center|200px|thumb]]
-Ini akan membuat tab serangan baru dalam tab "Intruder", dan secara otomatis mengisi tab Target dan Position dengan detail yang relevan akan permintaan dasar. Anda kemudian dapat memodifikasi posisi muatan otomatis jika diperlukan, dan mengonfigurasi muatan yang sesuai dan opsi serangan lainnya.
+* Tampilan di menu Proxy | Intercept adalah sebagai berikut
+[[File:Screenshot from 2018-05-06 11-39-14.png|center|200px|thumb]]
-Anda dapat melihat bahwa Burp otomatis membuat perkiraan di mana anda ingin memposisikan payload. Secara default, payload ditempatkan ke dalam nilai semua parameter permintaan dan cookie. Setiap pasangan penanda muatan menentukan posisi muatan tunggal, dan dapat menyertakan beberapa teks dari permintaan dasar, yang akan diganti dengan isi muatan saat posisi muatan digunakan.
+* Untuk memudahkan dalam memasukan serangan baru pada tab "Intruder", buka Proxy History atau Target Site Map. Klik kanan pada request serangan yang berhasil di catat / tertangkap Proxy History. Gunakan opesi "Send to Intruder".
-The buttons next to the request editor can be used to "add" and "clear" the payload markers. Try adding payload markers in new locations within the request, and removing other markers, and see the effects. When you have understood how the payload markers work, click the "Auto §" button to revert to the default payload positions that Burp configured for you.
+[[File:Screenshot from 2018-05-06 11-40-42.png|center|200px|thumb]]
-Next, go to the "Payloads" tab. This lets you define the payloads that will be placed into the defined payload positions. Keep the default setting (to use a "Simple list" of payloads), and add some test strings to the list. You can enter your own strings by typing into the "Enter a new item" box and clicking "Add". Or you can use the "Add from list" drop-down and choose "Fuzzing - quick" from the list of built-in payload strings [Pro version].
+* Ini akan membuat tab serangan baru dalam tab "Intruder", dan secara otomatis mengisi tab Target dan Position dengan detail yang relevan akan permintaan dasar. Anda kemudian dapat memodifikasi posisi muatan otomatis jika diperlukan, dan mengonfigurasi muatan yang sesuai dan opsi serangan lainnya.
-Burp Intruder has a number of functions to help you manage attack configurations. These functions are available via the Intruder menu:
+[[File:Screenshot from 2018-05-06 11-41-18.png|center|200px|thumb]]
-You can save the attack configuration for the current tab, and reload it later. When loading or saving, you can optionally include or exclude the payload positions settings.
+* Anda dapat melihat bahwa Burp otomatis membuat perkiraan di mana anda ingin memposisikan payload. Secara default, payload ditempatkan ke dalam nilai semua parameter permintaan dan cookie. Setiap pasangan penanda muatan menentukan posisi muatan tunggal, dan dapat menyertakan beberapa teks dari permintaan dasar, yang akan diganti dengan isi muatan saat posisi muatan digunakan.
-Including the payload positions settings lets you save the full configuration for a specific attack. Excluding the payload positions settings lets you save a generic attack configuration that can be reused for another base request template and payload positions - for example, your preferred configuration for fuzzing a particular type of request.
+[[File:Screenshot from 2018-05-06 11-41-25.png|center|200px|thumb]]
-You can copy attack configurations between two existing tabs, or into a new tab.
+* Khusus untuk serangan ke DVWA SQL Injection. Menggunakan menu '''Intruder | Positions''' kita bisa membuat sebagian besar parameter menjadi permanen, kecuali id= yang kita inject. Oleh karenanya kita ubah %25%27 dst menjadi parameter 1 yang nanti akan kita ubah2.
-Again, you can optionally include or exclude the "payload positions" settings.
+[[File:Screenshot from 2018-05-06 11-42-09.png|center|200px|thumb]]
-You can control how Intruder handles attack configurations when you open a new attack tab. You can choose to use the default attack configuration, or to copy the configuration from the first or last open tab.
+* Melalui menu '''Intruder | Payloads''' kita dapat "Add" dan "Clear" payload marker. Add beberapa payload untuk serangan, seperti,
-Using the latter options lets you create a generic attack configuration (e.g. for fuzzing), and automatically apply this to each new request that you send to Intruder.
+ %' OR '0'='0
+ %' OR '1'='1
+ %' OR '2'='2
+ %' OR '3'='3
+ %' OR '4'='4
+ dsb
+* Lakukan serangan melalui menu '''Intruder | Start Attack'''. Akan keluar '''Intruder Attack | Result'''.
-The attack tabs themselves are easy to manage. You can:
+[[File:Screenshot from 2018-05-06 11-44-17.png|center|200px|thumb]]
-* Rename tabs by double-clicking the tab header.
+* Klik pada salah satu '''Result | Responds | Render''' kita akan melihat hasil serangan yang terjadi. Kebetulan yang kita serang disini adalah DVWA jadi confirm mengeluarkan reaksi bahwa bisa di lakukan SQL Injection.
-* Reorder tabs by dragging them.
-* Open a new tab by clicking on the right-most "..." tab.
-* Close tabs by clicking the X button in the tab header.
+[[File:Screenshot from 2018-05-06 11-44-52.png|center|200px|thumb]]
 ==Referensi==
 * https://support.portswigger.net/customer/portal/articles/1783129-configuring-a-burp-intruder-attack
+==Pranala Menarik==
+* [[Burp Suite]]

Difference between revisions of "Brup Suite: Configuring a Burp Intruder Attack"

Latest revision as of 09:22, 13 February 2020

Referensi

Pranala Menarik

Navigation menu

Search