Brup Suite Admin Panel Brute

Burp bir proxy aracıdır. Web uygulamaları HTTP protokolünü kullanır ve HTTP protokolü ise istemci/sunucu mimarisi üzerine kurulu olan bir protokoldür. İstemci ve sunucu arasında proxy olarak kullanılan Burp Suite tüm istek ve cevapların ayrıntılı bir şekilde incelenebilmesine ve diğer özellikleri ile farklı işlemler yapılabilmesine olanak sağlayan bir araçtır.

Login Panel

Username :deneme / Password : Parola123 Yazdım Ve Giriş Hatası Aldık

Tarayacımız Üzerinde Gerekli Proxy Ayarını Yapıyoruz

Brute Force gerçekleştirmek için Burp Suite aracı kullanılabilir. Burp Suite ile araya girildiğinde (değişiklik yapılmayacağı için “Intercept On” yapılmasına gerek yoktur) HTTP History sekmesinde bu talep görülmektedir. Talep sağ tıklanıp Intruder‘a gönderilerek brute force saldırısı için ayarlamalar gerçekleştirilebilir.

Intruder-Position sekmesine gelindiğinde tüm değişkenlerin brute force saldırısı için seçildiği görülecektir.

Sadece “username” ve “password” alanlarına karşılık gelen değerlere brute force saldırısı yapılacağı için önce “Clear” butonuna tıklanır, sonra da ilgili 2 değer (“deneme” ve “Parola123”) seçilerek “Add” butonuna tıklanır.

saldırı tipi seçilir. Bu örnek için Cluster Bomb seçtik.

Intruder-Payloads sekmesinde seçilen parola ve kullanıcı adı değeri için 2 adet Payload ayarlanacaktır. Bu örnek için “Runtime File” seçilecektir.

“username” alanı için Kullanicilar.txt dosyası verilebilir.

İkinci alan olarak “password” alanı için de “Runtime File” seçilebileceği gibi, “Simple List” seçiminde kalınıp parola listesi verilebilir.

Böylece dosya içerisindeki değerler listelenmiş de olur.

Arzu edilirse “Add” butonu kullanılarak, bu listeye yeni değerler de eklenebilir. Böylece “Payload Count” değerininm arttığı da görülmektedir.

Sonraki adımda ise hangi şart sağlandığında başarılı olunduğunu görmek için bir ifade hazırlanacaktır. Bunun için Intruder-Options sekmesindeki Grep-Match ayarı kullanılabilir.

Öncelikle tüm değerler seçilerek, “Clear” butonuna tıklanır ve ifadelerin tamamı temizlenir. Sonra da hatalı erişimde alınan “Username and/or password incorrect.” mesajındaki “incorrect” ifadesi bayrak olarak kullanılacaktır.

8 kullanıcı adı ve 10 parola değeri (80 değer) için kaba kuvvet saldırısı gerçekleştirildiğinde “Incorrect” kolonu seçili olmayan ve “Lenght” değeri diğerlerinden farklı gelen değer çiftleri (admin/password, smithy/password, gordonb/abc123, 1337/charley) ile oturum açılabileceği tespit edilmiştir. Tespit edilen bu değerler renklendirilmiştir.