sql injection with Burp Suite

[Reza.Black]

به نام خدا

با سلام

یکی از ابزارهای کاربردی در تست نفوذ وب ابزار Burp Suite هست.
این ابزار فوق العاده می تونه شما رو در اجرای دقیق حملات وب یاری کنه.
امروز قصد دارم با یک مثال این آسیب پذیری (sql injection) رو با استفاده از ابزار Burp برای شما شرح بدم.

این تست رو بر روی اپلیکیشن Mutillidae و به ترتیب گزینه هایی که در زیر مشخص هست انجام میدم.



یوزرنیم و پسورد رو وارد می کنیم.



هدر ضبط شده توسط Burp رو به Intruder ارسال می کنیم.




ما با فیلد آسیب پذیر username کار داریم و تزریق در اینجا انجام میشه.

[Reza.Black]

یک پیلود از سر برگ payloads و قسمت [simple list] payload settings انتخاب می کنیم.





بر روی start attack کلیک می کنیم تا ابزار شروع به کار کنه و چند لحظه صبر می کنیم.

[Reza.Black]

می تونیم یکی یکی پیلودها رو تست و بررسی کنیم.
کافی هست که به خطاها و کد وضعیت و طول داده دقت کنیم.
نتایج واقعا جالب هست.