LazyCSRF

LazyCSRF è un generatore di PoC CSRF più utile che funziona su Burp Suite.

Non più in manutenzione🙇

Quando ho iniziato a sviluppare lazyCSRF, pensavo erroneamente che il generatore di PoC CSRF integrato in Burp Professional non potesse generare PoC usando XHR e non supportasse richieste PUT, ecc. Sono ancora insoddisfatto del generatore di PoC CSRF integrato di Burp, ma penso che ora sia sufficiente per le esigenze. Ho intenzione di concludere la manutenzione ora perché ho altri temi interessanti. Riprenderò la manutenzione quando avrò un po' di tempo libero.

Motivazione

Burp Suite è un proxy HTTP di intercezione, ed è lo strumento di fatto per eseguire test di sicurezza su applicazioni web. La funzionalità di Burp Suite che preferisco di più è Generate CSRF PoC. Tuttavia, la funzione per determinare automaticamente il contenuto della richiesta è difettosa e tenterà di generare PoC usando form anche per PoC che non possono essere rappresentati da form, come i casi che utilizzano JSON per i parametri o richieste PUT. Inoltre, i caratteri multibyte che possono essere visualizzati in Burp Suite stesso sono spesso alterati nel PoC CSRF generato. Queste sono state le motivazioni per creare LazyCSRF.

Caratteristiche

• Passaggio automatico a PoC usando XMLHttpRequest
  • Nel caso in cui il parametro sia JSON
  • Nel caso in cui la richiesta sia PUT/PATCH/DELETE
• Supporto per la visualizzazione di caratteri multibyte (come il giapponese)
• Generazione di PoC CSRF con Burp Suite Community Edition (ovviamente funziona anche nella Professional Edition)

Differenza nella visualizzazione dei caratteri multibyte

L'immagine seguente mostra la differenza nella visualizzazione dei caratteri multibyte tra il generatore di PoC CSRF di Burp e LazyCSRF. LazyCSRF può generare PoC per CSRF senza alterare i caratteri multibyte. Questo è valido solo se i caratteri non vengono alterati in Burp Suite.

Installazione

Scarica il JAR da GitHub Releases. In Burp Suite, vai alla scheda Extensions nella scheda Extender e aggiungi una nuova estensione. Seleziona il tipo di estensione Java e specifica la posizione del JAR.

Utilizzo

Puoi generare un PoC CSRF selezionando Extensions->LazyCSRF->Generate CSRF PoC By LazyCSRF dal menu che si apre facendo clic con il tasto destro in Burp Suite.

Come compilare

IntelliJ

Se usi IntelliJ IDEA, puoi compilarlo seguendo Build -> Build Artifacts -> LazyCSRF:jar -> Build.

Riga di comando

Puoi compilarlo con maven.

$ mvn install

LICENZA

Licenza MIT

Copyright (C) 2021 tkmru