ATOR – 認証トークンの取得と置換 – 複雑なセッションメカニズムのためのBurp Suiteプラグイン

ATOR プラグインスキーム

げっぷスイートツールに来て、組み込みのセッションメカニズムを持って、ますます頻繁に私はちょうどそれをアクティブに保つことに対処できない状況を満たしています。 これは、次のいずれかの要因によって発生することがよくあります。

  • 要求の異なる場所に隠された動的 CSRF トークン。
  • 認証トークンを使用する JavaScript ベースのアプリケーション (反応、角度) と API。
  • クッキーの代わりに特定のヘッダー値(例えば、 JWT);
  • 主にモバイルアプリケーションでのデュアルトークン(アクセス/リフレッシュトークン)の使用。

最近、自動スキャンを実行するのがはるかに簡単になる素晴らしいプラグインを思いつきました。 私は、とりわけ、JWTトークン(OAuth 2.0 /ベアラートークン)を持つシナリオで、数分ごとに変更され、明確な良心でお勧めできることをテストしました。

クイック スタート ガイドは次のようになります。

  • ログインの責任を負うリクエストをキャッチし(ベアラートークンを取得する応答で)、ATORaに送信します。
ATOR に既存のログイン応答を送信する
  • 私たちは答えから私たちに興味のある文字列を選択し、それに名前を付けます。
応答からアクセス トークンを抽出する
応答からアクセス トークンを抽出する
  1. プラグインがセッションが「殺された」ことを識別する方法を提供します。
エラーの種類をステータス コードとして設定 = 401
エラーの種類をステータス コードとして設定 = 401
  1. 新しい要求でセッション トークンを置き換える式を指定します。 ここでは正規表現を使用します。 それは正規表現のウェブサイト上で事前にそれらをテストする価値があります。
交換領域の設定
交換領域の設定
  • 自動スキャン用に追加のプラグインを使用する場合は、ATORa 設定で選択してください。
エクステンダーを設定する

プラグインはGithubieシノプシスで見つけることができます

Chcesz wiedzieć więcej?

Zapisz się i bądź informowany o nowych postach.

Nigdy nie podam, nie wymienię ani nie sprzedam Twojego adresu e-mail. W każdej chwili możesz zrezygnować z subskrypcji.

ブックマーク パーマリンク.

Podziel się swoją opinią na temat artykułu