ملحق الحصول على رمز التوثيق واستبداله

مقدمة

في عالم اختبار أمن الويب، الأتمتة هي المفتاح، و Burp Suite هو الخيار الأمثل. ومع ذلك، لتسخير قوة Burp بشكل حقيقي للمسح الآلي، تحتاج إلى الإضافات المناسبة. هنا يأتي دور ATOR. هذه الإضافة مفتوحة المصدر لـ Burp مصممة لإحداث ثورة في قدرات المسح لديك من خلال تبسيط إدارة الرموز واستبدالها في سيناريوهات مختلفة، بما في ذلك:

1. إدارة رمز الوصول ورمز التحديث
2. استبدال الرمز في أجسام طلبات XML و JSON
3. استبدال الرمز في عنوان URL وملفات تعريف الارتباط (Cookies)

تقليديًا، تطلبت هذه المهام وحدات ماكرو معقدة، أو قواعد جلسة، أو ملحقات مخصصة، خاصة عند التعامل مع بيانات JSON أو XML. تعمل إضافتنا على تبسيط هذه العملية، وتقدم العديد من المزايا الرئيسية:

المزايا الرئيسية:

1. استبدال الرمز في الذاكرة: تخلص من طلبات تسجيل الدخول المكررة عن طريق استبدال الرموز بسلاسة في الذاكرة، مما يعزز كفاءة المسح.
2. تجربة مستخدم سهلة: استخرج البيانات بسهولة من رسائل الاستجابة واستبدلها في الطلبات باستخدام التعبيرات العادية. هذه المرونة لا تقدر بثمن للتعامل مع سيناريوهات متنوعة تتضمن JSON و XML وبيانات النماذج وغيرها.
3. سرعة مسح محسنة: حقق سرعات مسح أسرع عن طريق تجنب طلبات تسجيل الدخول غير الضرورية. تستخدم الإضافة آلية "طلب الزناد" (Trigger Request) لتحديد حالات الخطأ، مثل رمز استجابة 401 مع نص يحتوي على "طلب غير مصرح به".

الإلهام لهذه الإضافة جاء من إضافة ExtendedMacro: https://github.com/FrUh/ExtendedMacro

البدء

لاستخدام هذه الإضافة، اتبع الخطوات التالية:

1. قم بتثبيت Java و Maven.
2. استنساخ هذا المستودع.
3. قم بتشغيل الأمر "mvn clean install" في دليل المستودع المستنسخ حيث يوجد ملف pom.xml.
4. استرجع ملف JAR المُنشأ مع التبعيات من مجلد "target".

المتطلبات الأساسية

قبل استخدام الإضافة، تأكد مما يلي:

1. تأكد من إعداد بيئة Java على جهازك.
2. قم بتكوين Burp Suite للاستماع إلى حركة مرور الوكيل (Proxy).
3. قم بتكوين بيئة Java من علامة التبويب Extender في Burp.

للاستخدام مع تطبيق اختبار (قم بتثبيت تطبيق الاختبار هذا (تطبيق Tiredful) من https://github.com/payatu/Tiredful-API)

الخطوات

1. حدد الطلب الذي ينتج عنه الخطأ.
2. حدد نمط الخطأ (التفاصيل في القسم أدناه).
3. احصل على البيانات من الاستجابة باستخدام تعبير عادي (انظر أمثلة التعبيرات العادية).
4. استبدل هذه البيانات في الطلب (استخدم نفس التعبير العادي من الخطوة 3 مع اسم المتغير).

نمط الخطأ:

هناك 4 طرق مختلفة لتحديد حالة الخطأ:

1. رمز الحالة: 401, 400
2. خطأ في النص (Body): أعط أي نص من محتوى النص (مثال: انتهت صلاحية رمز الوصول)
3. خطأ في الرأس (Header): أعط أي نص من الرأس (مثال: غير مصرح)
4. نموذج حر: استخدم هذا لإعطاء شروط متعددة (مثال: st=400 && bd=انتهت صلاحية رمز الوصول || hd=غير مصرح)

تفصيل الاختبارات من البداية إلى النهاية

1. إيجاد الطلب غير الصحيح:
   • http://HOST:PORT/api/v1/exams/MQ==/ مع رمز Bearer غير صالح.
2. تحديد نمط الخطأ:
   • الطلب أعلاه سيعطيك 401، هنا حالة الخطأ هي رمز الحالة = 401
3. مطابقة التعبير العادي مع بيانات الطلب:
   • Authorization: Bearer \w* - هذا التعبير العادي سيطابق رمز الوصول المُمرر.
4. الاستبدال - كيفية الاستبدال:
   • استبدل النص المطابق (تعبير عادي من الخطوة 3) بالقيمة المستخرجة (تكوين الاستخراج موضح أدناه، لنفترض أن اسم المتغير هو "token")
   • Authorization: Bearer token - سيتم استبدال الرمز المستخرج.

الاستخدام مع تطبيق الاختبار

الفكرة: سجل طلبات تطبيق Tiredful في Burp، وقم بتكوين ملحق ATOR، وتحقق مما إذا تم استبدال الرمز بواسطة ATOR.

1. افتح تطبيق الاختبار في المتصفح الذي قمت بتكوينه مع Burp:
   • قم بإنشاء رمز من http://HOST:PORT/handle-user-token/
   • أرسل الطلب http://HOST:PORT/api/v1/exams/MQ==/ عن طريق تمرير رمز Authorization Bearer (احصل عليه من الخطوة أعلاه).
2. أضف ملف JAR الخاص بـ ATOR كملحق في Burp.
3. انقر بزر الماوس الأيمن على الطلب (/handle-user-token) في سجل الوكيل (Proxy history) وأرسله إلى Authentication Token Obtain and Replace Extender.
4. أضف إدخالاً جديدًا في تكوين الاستخراج عن طريق تحديد قيمة "access_token" وإعطاء الاسم "token" (قد يكون أي اسم). ملاحظة: بالنسبة لهذا التطبيق، طلب واحد يكفي لتوليد رمز. يمكن أيضًا إنشاء الرمز بعد طلبات متعددة.
5. شرط الزناد (TRIGGER CONDITION):
   • سيتم تنفيذ خطوات الماكرو إذا تم استيفاء الشرط.
   • بعد تنفيذ الخطوات، استبدل الطلب الوارد بأخذ القيم من "النمط" و"منطقة الاستبدال" إذا تم تحديدها.
   • لاختبارنا:
     • حالة الخطأ هي 401 (رمز الحالة).
     • النمط هو "Authorization: Bearer \w*" (حدد نمط التعبير العادي لكيفية الاستبدال بقيم الاستخراج).
     • منطقة الاستبدال هي "Authentication: Bearer <الاسم الذي أعطيته في الخطوة 4>".
   • انقر على زر "Add".
6. في هذا المثال، استبدال واحد كافٍ لجعل الطلب الوارد صالحًا، ولكن يمكنك إضافة استبدالات متعددة لشرط واحد.
7. أرسل الطلب غير الصحيح من Repeater وتحقق من تدفق الطلب/الاستجابة في إما FLOW أو Logger++:
   • رمز Bearer غير صالح (http://HOST:PORT/api/v1/exams/MQ==/) من Repeater يعطي استجابة 401.
   • سيطابق الملحق هذا الشرط ويبدأ في تنفيذ الخطوات المسجلة، واستخراج "access_token".
   • استبدل رمز الوصول (من الخطوة ii) في الاستجابة الفعلية (من Repeater) ويجعل هذا الطلب غير الصحيح صالحًا.
   • في وحدة تحكم Repeater، سترى استجابة 200 OK.
8. كرر الخطوة 7 مرة أخرى وتحقق من التدفق:
   • هذه المرة لن يقوم الملحق باستدعاء الخطوات لأن الرمز الحالي صالح، وبالتالي سيستخدمه.

تم البناء باستخدام

• SWING - يُستخدم لإضافة لوحة.

المساهمة

يرجى قراءة CONTRIBUTING.md للحصول على تفاصيل حول مدونة قواعد السلوك الخاصة بنا، وعملية تقديم طلبات السحب إلينا.

الإصدارات

الإصدار 2.3.0

المؤلفون

• **https://github.com/FrUh/ExtendedMacro ** - العمل الأولي

Synopsys

الترخيص

تم إصدار هذا البرنامج بواسطة Synopsys بموجب ترخيص MIT.

الإقرارات

• https://github.com/FrUh/ExtendedMacro كان ExtendedMacro بداية رائعة - قمنا بتعديل واجهة المستخدم للتعامل مع سيناريوهات أكثر تعقيدًا. كما قمنا بإصلاح الأخطاء وتحسين السرعة عن طريق استبدال الرموز في الذاكرة.