AutoRepeater: Repetição Automatizada de Requisições HTTP com Burp Suite

tl;dr

No Extender, importe AutoRepeater.jar

Algumas Breves Instruções

O AutoRepeater só reenviará requisições que forem alteradas por uma substituição definida. Quando o AutoRepeater recebe uma requisição que corresponde às condições definidas para uma determinada aba, o AutoRepeater primeiro aplicará todas as substituições base definidas à requisição; em seguida, copiará a requisição com as substituições base já aplicadas para cada substituição definida e aplicará a substituição em questão à requisição.

Introdução

O Burp Suite é um proxy HTTP de interceptação e é a ferramenta padrão de fato para realizar testes de segurança em aplicações web. Embora o Burp Suite seja uma ferramenta muito útil, usá-lo para realizar testes de autorização costuma ser um trabalho tedioso que envolve um ciclo de "alterar requisição e reenviar", o que pode deixar vulnerabilidades passar despercebidas e atrasar os testes. O AutoRepeater, uma extensão de código aberto do Burp Suite, foi desenvolvido para amenizar esse esforço. O AutoRepeater automatiza e agiliza os testes de autorização em aplicações web e oferece aos pesquisadores de segurança uma ferramenta fácil de usar para duplicar, modificar e reenviar requisições automaticamente dentro do Burp Suite, avaliando rapidamente as diferenças nas respostas.

AutoRepeater

Sem o AutoRepeater, o fluxo básico de testes de aplicações web com o Burp Suite é o seguinte:

1. O usuário explora uma aplicação web até encontrar uma requisição interessante
2. O usuário envia a requisição para a ferramenta "Repeater" do Burp Suite
3. O usuário modifica a requisição no "Repeater" e a reenvia ao servidor
4. Repete o passo 3 até encontrar uma vulnerabilidade bacana
5. Recomeça do passo 1, até o usuário ficar sem tempo de teste ou poder se aposentar com os ganhos de bug bounty

Embora esse fluxo de testes funcione, ele é especialmente tedioso para testar problemas que podem existir em qualquer requisição. Por exemplo, alterar endereços de e-mail, identidades de conta, papéis, URLs e tokens CSRF pode levar a vulnerabilidades. Atualmente, o Burp Suite não testa rapidamente esses tipos de vulnerabilidade em uma aplicação web.

Existem alguns plugins existentes do Burp Suite (AuthMatrix, Authz e Autorize) que foram criados para facilitar os testes de autorização, mas cada um tem problemas que limitam sua utilidade. AuthMatrix e Authz exigem que os usuários enviem requisições específicas aos plugins e configurem regras para a realização dos testes de autorização, o que introduz o risco de perder requisições importantes e atrasa os testes. O Autorize não oferece aos usuários a capacidade de realizar substituições de texto de propósito geral e tem uma interface de usuário confusa. O AutoRepeater reúne todas as melhores ideias desses plugins, juntamente com a interface familiar do Burp Suite, e as combina para criar o plugin de teste de autorização mais simplificado.

O AutoRepeater oferece uma solução de propósito geral para agilizar os testes de autorização em aplicações web. O AutoRepeater fornece os seguintes recursos:

• Duplicar, modificar e reenviar automaticamente qualquer requisição
• Substituições condicionais
• Substituições rápidas de cabeçalhos, cookies e valores de parâmetros
• Visualizador dividido de requisição/resposta
• Visualizador de diff entre requisição/resposta original e modificada
• Substituições base para valores que quebram requisições, como tokens CSRF e cookies de sessão
• Abas renomeáveis
• Registro de logs
• Exportação
• Ativação alternável
• "Enviar para o AutoRepeater" a partir de outras ferramentas do Burp Suite

Exemplo de Uso

A seguir estão alguns casos de uso comuns para o AutoRepeater. Algumas dicas úteis ao usar a ferramenta:

• Não ative o AutoRepeater até estar pronto para começar a navegar.
• Garanta que o Extender não esteja usando cookies do cookie jar do Burp (Project Options > Session).
• Verifique logo no início se as substituições estão funcionando como esperado.
• As abas e a configuração são preservadas após uma reinicialização, mas os dados são perdidos.

Testando o Acesso de Usuário Não Autenticado

Para testar se um usuário não autenticado pode acessar a aplicação, configure uma regra em Base Replacements para Remove Header By Name e depois defina a correspondência para "Cookie".

Testando o Acesso de Usuário Autenticado

Para testar o acesso entre usuários autenticados (por exemplo, de privilégio baixo para privilégio mais alto), você precisará definir substituições para cada um dos cookies de sessão utilizados.

1. Anote os nomes e valores dos cookies da sessão de privilégio mais baixo.
2. Configure uma regra em Base Replacements para cada cookie com Match Cookie Name, Replace Value. Corresponda o nome do cookie e substitua pelo cookie do usuário de privilégio mais baixo.
3. Repita para quantos papéis desejar testar.
4. Navegue pela aplicação como o usuário de privilégio mais alto.
5. Revise os resultados.

Revisando os Resultados de Acesso do Usuário

Para revisar os resultados dos testes de acesso, primeiro garanta que você está usando a versão mais recente da ferramenta (Git, não a loja BApp).

1. Ordene por URL e depois por Resp. Len. Diff.. Itens com diferença 0 e códigos de status idênticos são fortes indicadores de acesso bem-sucedido.
2. Usando Logs > Log Filter, configure exclusões para dados irrelevantes (por exemplo, File Extension = (png|gif|css|ico), Modified Status Code = (403|404)).
3. Revise os resultados e investigue manualmente qualquer coisa que pareça fora do lugar.

Referências

• BSides Rochester 2018 - AutoRepeater: Repetição Automatizada de Requisições HTTP com Burp Suite
• AutoRepeater: Repetição Automatizada de Requisições HTTP com Burp Suite