TOTP Authenticate

يستخدم قواعد معالجة الجلسات لإضافة رمز TOTP إلى الطلبات الصادرة.

لإصدار Burp Suite Enterprise

يرجى ملاحظة أن الامتدادات مكتوبة بواسطة مستخدمين خارجيين من Burp، ولا تقدم PortSwigger أي ضمان بشأن جودتها أو فائدتها لأي غرض معين.

الاستخدام

1. قم ببناء الامتداد
2. قم بتحميل الامتداد إلى Burp Enterprise، وأضف الامتداد إلى صفحة تفاصيل موقعك
3. قم بتكوين قاعدة معالجة الجلسات في Burp Suite Professional
4. استورد تكوين الفحص إلى Enterprise وأضف تكوين الفحص إلى صفحة تفاصيل موقعك

تكوين قاعدة معالجة الجلسات في Burp Suite Professional/Community

1. قم بتحميل الامتداد إلى Extensions > Installed > Add
2. انتقل إلى Settings > Search > Sessions
3. ضمن Session handling rules، انتقل إلى Add > Rule actions > Add > Invoke a Burp extension، واختر TOTP Authenticate من القائمة المنسدلة المتاحة وانقر فوق OK
4. قم بتعيين وصف القاعدة
5. انتقل إلى علامة التبويب Scope، وتأكد من تحديد خانة Tools scope > Scanner
6. قم بتكوين نطاق URL بشكل مناسب
7. انقر فوق OK
8. انتقل إلى Extensions > Installed وأعد تحميل الامتداد (قم بإلغاء تحديد خانة "مُحمَّل" الخاصة بـ TOTP Authenticate، ثم انقر فوقها مرة أخرى)
9. قم بإجراء أي اختبار في Burp Suite Professional/Community
10. قم بتصدير قاعدة معالجة الجلسات من خلال الانتقال إلى Session handling rules > Cog button > Save settings

القيود

• سيتم تطبيق القاعدة الأولى الموجودة فقط
• أي تغييرات على القاعدة ستتطلب إعادة تحميل الامتداد عند الاختبار في Burp Suite Professional أو Community Edition
• نظرًا لتكرار عمليات تسجيل الدخول بواسطة Burp Scanner، فقد يتم إعادة استخدام رموز OTP، مما قد يؤدي إلى فشل عمليات تسجيل الدخول. لتجنب ذلك، قد تحتاج إلى استخدام وضع "Incy Wincy" أو إضافة تأخير إلى تسلسل تسجيل الدخول المسجل. يرجى ملاحظة أن إضافة تأخير إلى تسلسل تسجيل الدخول المسجل سيؤثر بشكل كبير على أوقات الفحص.

تنسيق قاعدة معالجة الجلسات

البنية

/^^secretKey:BASE32,ruleType:TYPE,parameterName:NAME_OF_PARAMETER_VALUE_OR_BASE64_ENCODED_REGEX^^/

حيث

• /^^ محدد للدلالة على بداية القاعدة
• secretKey: بذرة OTP المشفرة بـ BASE32
• ruleType: يصف مكان تطبيق القاعدة
• parameterName:
  • بالنسبة إلى ruleType من النوع BODY_REGEX، يكون التعبير النمطي المشفر بـ BASE64 الذي يحدد مكان التحديث
  • بالنسبة إلى ruleType من النوع HEADER أو URL أو COOKIE أو BODY_PARAM، يكون الاسم الحرفي لزوج المفتاح:القيمة المراد إضافته أو تحديثه
• ^^/ محدد للدلالة على نهاية القاعدة

RuleType

• HEADER
• URL
• COOKIE
• BODY_PARAM
• BODY_REGEX

أمثلة

مثال لتعبير نمطي من نوع BODY_REGEX

يقدم المثال التالي التعبير النمطي .*\"AdditionalAuthData\":\"(\d*)\".* كـ parameterName لتحديد تعبير المطابقة واستبدال (\d*) برمز OTP المتداول المُنشأ

/^^secretKey:EQZWG4RTORIDIJBE,ruleType:BODY_REGEX,parameterName:LipcIkFkZGl0aW9uYWxBdXRoRGF0YVwiOlwiKFxkKilcIi4q^^/

مثال لتعبير نمطي من نوع HEADER

يضيف المثال التالي أو يستبدل ترويسة باسم TEST بقيمة رمز OTP المتداول المُنشأ

/^^secretKey:EQZWG4RTORIDIJBE,ruleType:HEADER,parameterName:TEST^^/

مثال على تكوين JSON لمعالجة الجلسات في الفحص

{
  "project_options":{
    "sessions":{
      "session_handling_rules":{
        "rules":[
          {
            "actions":[
              {
                "action_name":"TOTP Authenticate",
                "enabled":true,
                "type":"invoke_extension"
              }
            ],
            "description":"My OTP rule: /^^secretKey:EQZWG4RTORIDIJBE,ruleType:HEADER,parameterName:TEST^^/",
            "enabled":true,
            "exclude_from_scope":[],
            "include_in_scope":[],
            "named_params":[],
            "restrict_scope_to_named_params":false,
            "tools_scope":[
              "Scanner"
            ],
            "url_scope":"all",
            "url_scope_advanced_mode":false
          }
        ]
      }
    }
  }
}

استكشاف الأخطاء وإصلاحها

نوصي باختبار هذا الامتداد في Burp Suite Professional/Community قبل استخدامه في Burp Suite Enterprise Edition.

لاختبار هذا الامتداد في Enterprise، يمكنك تكوين وكيل تصاعدي عبر Burp للتأكد من إضافة رمزك بشكل مناسب.

إذا كنت تستخدم التكوين التالي، فتأكد من تشغيل مثيل من Burp Suite Pro/Community وأنك تستخدم وكيلًا محليًا.

{
  "project_options":{
    "connections":{
      "upstream_proxy":{
        "servers":[
          {
            "auth_type":"none",
            "destination_host":"*",
            "proxy_host":"127.0.0.1",
            "proxy_port":8080,
            "enabled":true
          }
        ],
        "use_user_options":false
      }
    }
  }
}

استخدام Gradle

• إذا لم يكن Gradle مثبتًا لديك بالفعل، فاتبع تعليمات التثبيت هنا.
• بمجرد تثبيت Gradle، قم بتشغيل gradle fatJar من دليل التثبيت باستخدام سطر الأوامر.
• تأكد من استخدام أحدث إصدار من Gradle.