使用Burp Suite的Intruder模块发现敏感目录

一、Intruder（暴力破解模块）

       Interder是一个强大的模块，可以用于自动对web应用程序进行无差别、自定义攻击，它可以用来自动执行您的测试过程中可能出现的所有类型的任务。例如目录爆破，注入，密码爆破等。

二、实验环境准备

2.1 本次实验的靶场的IP是192.168.207.128，如下图所示，做实验时要看清楚自己靶场的IP是多少。

 

2.2 在整个实验中，我们需要把靶场的“网络适配器”是设置为NAT模式，如下图示：

 

2.3 打开Kali linux中的Burp Suite Community并配置Burp Suite的Chromium browser

默认情况下在kali linux中是无法打开Chromium browser，会出现如下的提示：

 解决的方法如下图所示：

 

 

 做好上面的设置之后再试一下，发现可以打开了：

2.3在浏览器地址栏输入靶机IP，然后点击WackoPicko，就会跳到下图所示的界面

WackoPicko.com已经打开，BurpSuite Community也是在前面的步骤打开了的

三、实验的对象

本次实验对象是OWASP BWA靶场中的WackoPicko

四、实验的手段

使用kali linux中的Burp Suite Community进行实验，因为需要使用到kali linux中的字典，所以需要用的字典如下图所示：

 wordlist词表

五、实验开始

5.1 我们使用BP自带的Chromium浏览器打开了网站WackoPicko.com，此时Burp Suite中记录了相关的HTTP历史记录，如下图示：

 

5.2 在Proxy模块中，找到对WackoPicko.com根路径的请求包，右键选中它，再选择Send to intruder，如下图示：

 

5.3 在Positions模块中，点击clear§

操作，在Positions模块中，会看到很多前后有§的字段，这些字段与其它字段不一样，呈现高亮（绿色底），单击右侧的“Clear§”以清空所有被§包裹的字段。

解释，§，属于特殊符号，义项名：分节符Section Sign，也可称双S号或分段符号，是字体排印学的一个字符。

解释，前后有§（被§包裹）的字段的含义：是Intruder在每次请求中都会更改的字段。

Clear§前

 

Clear§后

 

5.4 在URL的最后一个/后面随便添加一个字段，例如字母a，然后选中它，再单击Add§按钮，字母a的前后就会自动加上§，那么这样就会让这个选中的字符成为一个修改点，如下图示：

 

5.5 切换到Payloads选项卡，载入攻击载荷

从Intruder模块的Positions换到Payloads。

由于上图中我们只增加了1个修改点§a§，上图中最下面箭头处“1 payload position”，因此下图中payload set选择1，payload type选择simple list，如下图示： 

 

5.6 在Payloas选项卡中载入small.txt

在payload setttings中点击load，载入/usr/share/wordlists/dirb/small.txt

注意：small.txt是kali linux自带的！！！

 

5.7 Start attack

点击 Start attack 按钮，开始向服务器发送请求，因为此处使用的是 Burp Suite Community，因此，会看到 intrude 的一些告警信息,点击OK后，重新点击 Start attack 按钮即可开始攻击。

 Burp Intruder 告警信息

 

5.8 根据status排序

Intruder attack还在继续，单击status，状态码就会按照从小到大的顺序展示，200是存在且可访问的文件或目录的响应代码，重向性为300，错误范围是400和500。、

 

六、相关的知识与相关的技能

一、Intruder使用加载的攻击载荷去替换请求中被特殊符号标记的字段然后发送请求。有效的攻击载荷类型如下：

1.Simple List：可以直接从文件中加载内容，也可以从剪贴板粘贴进去或者是直接写入文本框然后添加到列表中。 

2.Runtime File：intruder会在运行时获取指定文件中的有效攻击载荷，当被加载的文件非常大，它将不会被完全载入到内存中。 

3.Numbers：生成一个以十六进制或者十进制编码的纯数字列表，该列表可以是有序的也可以是随机的。 

4.Username Generator：载入一个以电子邮件构成的列表并在其中提取出可能会用到的用户名。 

5.Bruteforcer：获取一个字符集，然后按照指定长度对它进行所有可能的排列组合。 

二、攻击载荷的类型由Positions中的攻击类型Payload type来指定，其他类型如下： 

1.Sniper：将一组攻击载荷分别替换每一个修改点上，每个替换后的值都是不同的。

2.Battering ram：和Sniper一样，它也使用一组攻击载荷，但是不同的是它在每一次修改中会把所有修改点都替换成一样的值。 

3.Pitchfork：将多个攻击载荷集中的每一项依次替换不同的修改点，当对已知的某些数据进行测试时会发现它很有用，比如对一组用户名和密码进行测试。 

4.Cluster bomb：测试多个攻击载荷的所有排列组合。 

在攻击结果中可以发现一些已知文件的名称与列表中的名称相匹配，还发现一个名为admin的目录，它可能是负责管理功能的页面，比如添加用户名或者某些内容。