قبل استخدام الإضافة، تأكد مما يلي:

1. تأكد من إعداد بيئة Java على جهازك.
2. قم بتكوين Burp Suite للاستماع إلى حركة مرور الوكيل (Proxy).
3. قم بتكوين بيئة Java من علامة التبويب Extender في Burp.

للاستخدام مع تطبيق اختبار (قم بتثبيت تطبيق الاختبار هذا (تطبيق Tiredful) من https://github.com/payatu/Tiredful-API)

الخطوات

1. حدد الطلب الذي ينتج عنه الخطأ.
2. حدد نمط الخطأ (التفاصيل في القسم أدناه).
3. احصل على البيانات من الاستجابة باستخدام تعبير عادي (انظر أمثلة التعبيرات العادية).
4. استبدل هذه البيانات في الطلب (استخدم نفس التعبير العادي من الخطوة 3 مع اسم المتغير).

نمط الخطأ:

هناك 4 طرق مختلفة لتحديد حالة الخطأ:

1. رمز الحالة: 401, 400
2. خطأ في النص (Body): أعط أي نص من محتوى النص (مثال: انتهت صلاحية رمز الوصول)
3. خطأ في الرأس (Header): أعط أي نص من الرأس (مثال: غير مصرح)
4. نموذج حر: استخدم هذا لإعطاء شروط متعددة (مثال: st=400 && bd=انتهت صلاحية رمز الوصول || hd=غير مصرح)

تفصيل الاختبارات من البداية إلى النهاية

1. إيجاد الطلب غير الصحيح:
   • http://HOST:PORT/api/v1/exams/MQ==/ مع رمز Bearer غير صالح.
2. تحديد نمط الخطأ:
   • الطلب أعلاه سيعطيك 401، هنا حالة الخطأ هي رمز الحالة = 401
3. مطابقة التعبير العادي مع بيانات الطلب:
   • Authorization: Bearer \w* - هذا التعبير العادي سيطابق رمز الوصول المُمرر.
4. الاستبدال - كيفية الاستبدال:
   • استبدل النص المطابق (تعبير عادي من الخطوة 3) بالقيمة المستخرجة (تكوين الاستخراج موضح أدناه، لنفترض أن اسم المتغير هو "token")
   • Authorization: Bearer token - سيتم استبدال الرمز المستخرج.

الاستخدام مع تطبيق الاختبار

الفكرة: سجل طلبات تطبيق Tiredful في Burp، وقم بتكوين ملحق ATOR، وتحقق مما إذا تم استبدال الرمز بواسطة ATOR.

1. افتح تطبيق الاختبار في المتصفح الذي قمت بتكوينه مع Burp:
   • قم بإنشاء رمز من http://HOST:PORT/handle-user-token/
   • أرسل الطلب http://HOST:PORT/api/v1/exams/MQ==/ عن طريق تمرير رمز Authorization Bearer (احصل عليه من الخطوة أعلاه).
2. أضف ملف JAR الخاص بـ ATOR كملحق في Burp.
3. انقر بزر الماوس الأيمن على الطلب (/handle-user-token) في سجل الوكيل (Proxy history) وأرسله إلى Authentication Token Obtain and Replace Extender.
4. أضف إدخالاً جديدًا في تكوين الاستخراج عن طريق تحديد قيمة "access_token" وإعطاء الاسم "token" (قد يكون أي اسم). ملاحظة: بالنسبة لهذا التطبيق، طلب واحد يكفي لتوليد رمز. يمكن أيضًا إنشاء الرمز بعد طلبات متعددة.
5. شرط الزناد (TRIGGER CONDITION):
   • سيتم تنفيذ خطوات الماكرو إذا تم استيفاء الشرط.
   • بعد تنفيذ الخطوات، استبدل الطلب الوارد بأخذ القيم من "النمط" و"منطقة الاستبدال" إذا تم تحديدها.
   • لاختبارنا:
     • حالة الخطأ هي 401 (رمز الحالة).
     • النمط هو "Authorization: Bearer \w*" (حدد نمط التعبير العادي لكيفية الاستبدال بقيم الاستخراج).
     • منطقة الاستبدال هي "Authentication: Bearer <الاسم الذي أعطيته في الخطوة 4>".
   • انقر على زر "Add".
6. في هذا المثال، استبدال واحد كافٍ لجعل الطلب الوارد صالحًا، ولكن يمكنك إضافة استبدالات متعددة لشرط واحد.
7. أرسل الطلب غير الصحيح من Repeater وتحقق من تدفق الطلب/الاستجابة في إما FLOW أو Logger++:
   • رمز Bearer غير صالح (http://HOST:PORT/api/v1/exams/MQ==/) من Repeater يعطي استجابة 401.
   • سيطابق الملحق هذا الشرط ويبدأ في تنفيذ الخطوات المسجلة، واستخراج "access_token".
   • استبدل رمز الوصول (من الخطوة ii) في الاستجابة الفعلية (من Repeater) ويجعل هذا الطلب غير الصحيح صالحًا.
   • في وحدة تحكم Repeater، سترى استجابة 200 OK.
8. كرر الخطوة 7 مرة أخرى وتحقق من التدفق:
   • هذه المرة لن يقوم الملحق باستدعاء الخطوات لأن الرمز الحالي صالح، وبالتالي سيستخدمه.

تم البناء باستخدام

• SWING - يُستخدم لإضافة لوحة.

المساهمة

يرجى قراءة CONTRIBUTING.md للحصول على تفاصيل حول مدونة قواعد السلوك الخاصة بنا، وعملية تقديم طلبات السحب إلينا.

الإصدارات

الإصدار 2.3.0

المؤلفون

• **https://github.com/FrUh/ExtendedMacro ** - العمل الأولي

Synopsys

الترخيص

تم إصدار هذا البرنامج بواسطة Synopsys بموجب ترخيص MIT.

الإقرارات

• https://github.com/FrUh/ExtendedMacro كان ExtendedMacro بداية رائعة - قمنا بتعديل واجهة المستخدم للتعامل مع سيناريوهات أكثر تعقيدًا. كما قمنا بإصلاح الأخطاء وتحسين السرعة عن طريق استبدال الرموز في الذاكرة.