در این بخش از مجموعه آشنایی با متدولوژی Burp Suite به بخش پانزدهم از این متدولوژی و استفاده از Request in Browser ابزار Burp Suite در شناسایی مشکلات مربوط به Access Control می پردازیم.
مقایسه محتویات برنامه زمانی که در زمینه های مختلف کاربر قابل دسترسی است، گاهی اوقات نیاز به تست هر صفحه به صورت جداگانه دارد تا تأیید شود که آیا کنترل های دسترسی به درستی اعمال شده است یا خیر.
یکی از راه‌های انجام این تست به صورت دستی بدین شکل است که چندین بار از طریق یک فرآیند در مرورگر، صفحات مختلف را مرور نموده و از پروکسی خود برای تغییر توکن جلسه ارائه شده در درخواست‌های مختلف به کاربر با سطح دسترسی کمتر استفاده کنید.
البته شما اغلب می توانید با استفاده از ویژگی Request in browser در ابزار Burp Suite سرعت این فرآیند را به صورت چشمگیری افزایش دهید. در این آموزش ما از یک نسخه وردپرس برای بررسی استفاده می کنیم. این نخسه از وردپرس مربوط به OWASP’s Broken Web Application Project می باشد.
ابتدا، اطمینان حاصل کنید که Burp به درستی با مرورگر شما پیکربندی شده‌است.
در تب Burp Proxy، اطمینان حاصل کنید که در بخش Proxy و تب Intercept، عبارت Intercept is off نمایش داده شده باشد. سپس به صفحه لاگین مربوط به برنامه ای که قصد بررسی آن را دارید بروید.
بوسیله یک کاربر با سطح دسترسی بالا به برنامه لاگین نمایید. در این مثال از نام کاربری و کلمه عبور admin استفاده شده است.
در فرآیند یا ناحیه ای از برنامه که درحال تست آن هستید را مرور کنید.
Request/Response ها توسط Burp در قسمت Site Map و Proxy History ذخیره شده است.
از برنامه خارج شده و بوسیله کاربری با سطح دسترسی پایین به برنامه لاگین نمایید. در این مثال از نام کاربری و کلمه عبور user استفاده شده است.
بخشی که در حال تست آن هستید را در Site Map یا History پیدا کنید.
بر روی ورودی راست کلیک نموده و منوی ظاهر شده گزینه Request in browser و سپس In current session را انتخاب نمایید. این ورودی همانطور که در تصویر نیز قابل مشاهده می باشد مربوط به یک فرآیند مدیریتی جهت حذف کاربر است. این فرآیند نیاز به دسترسی admin دارد.
پنجره بازشده Request in browser به شما امکان می دهد URL صفحه مورد نیاز را کپی کنید.
بر روی Copy کلیک نمایید.
آدرس را در مرورگر خود باز کنید. با این کار شما سعی خواهید کرد تا به صفحه ای که مربوط به کاربر دیگر و یا فرآیند مدیریتی می باشد، دسترسی پیدا کنید.
در این مثال ما از دسترسی به صفحه محروم هستیم. به نظر می رسد که کنترل های دسترسی مناسب برای این دسته از کاربران وجود دارد.
