コマースプラットフォーム部所属の大山大です。
【この記事の対象者】
BurpSuiteのRepeaterやIntruderを使用して、Webアプリケーションなどの脆弱性診断を行なっている方。
【目的】
POSTリクエストのJSONパラメータや、カスタムヘッダに設定されたCSRFトークンを、直前のレスポンスから引き継ぐ。
BurpSuiteのマクロ機能では、下記のようなJSONパラメータやカスタムヘッダのトークンを、レスポンスから引き継ぐことができない。
それを解決する拡張機能「CustomParameterHandler」を紹介する。
【制限事項】
本拡張機能は、スレッドで動作していないため、Intruder使用時のスレッド数は１、InteruderとRepeaterの並行作業はしないように。
実施した場合、期待した引き継ぎができない。
ターゲットした文字列の固定値への置き換え、例えばセッションIDの削除などはスレッドで使用しても問題ない。
【インストール方法】
１．ExtenderタブからBAppStoreを開きます。
２．右上の検索窓で「Parameter」と検索します。
３．「CustomParameterHandler」という拡張を選択します。
４．この拡張にはJythonが必要なので、「download Jython」をクリックして、ダウンロード先のWebサイトを開きます。
５．「Jython Standalone」を選択して、任意の場所にjarファイルをダウンロードします。
６．BurpSuiteに戻って、ExtenderタブのOptionsを開きます。
７．「PythonEnviroment」の「Location of Jython standalone JAR file」に、先程ダウンロードしたJythonのパスを設定します。
８．ExtenderタブのBAppStoreに戻り、他の拡張を選択して、「Custom Parameter Handler」を再選択すると、installボタンが表示されます。
９．installボタンを押して、拡張機能「Custom Parameter Handler」をBurpSuiteにインストールします。
１０．インストールが終了すると、「CPH Config」というタブが追加されます。
１１．パラメータを引き継ぐ際に使うツールがRepeaterの場合は、Repeaterにチェックを入れてください。不要なチェックは外してください。
１２．インストール作業は以上です。
【使い方】
下記のようなJSONレスポンスから、JSONリクエストに値を引き継ぐことを想定します。
Response:input.php
Request:confirm.php
１．まず、通常通りマクロを組みます。
２．レスポンスを得るためのMacroを作成する。
３．MacroRulesに、「Run a macro」として登録する。
４．MacroRulesのScopeタブで、URL Scopeを「Include all URLs」として登録する。これで、JSONリクエストを送信する前にレスポンスを得ることができるようになりました。
５．さて、やっと拡張機能の使い方です。取得したいレスポンスをProxyタブなどで右クリックし、Extensions→Send to CPHを選択します。
６．そうすることで、CPH Configタブへレスポンスの内容がコピーされます。
ここで、レスポンスを記憶させるための設定をします。
７．Friendly nameに任意の名前を設定します。ここで設定した名前が、CPH Config内での名前になります。
８．CPH Configタブの７で設定したタブのチェックを外します。チェックがあると設定した内容で置き換えられますが、レスポンスはキャッシュされます。
９．Scopingのプルダウンで、「only on requests」を選択します。
１０．ScopingのRegEx右側のテキストボックスに、リクエストの１行目をコピーして、貼り付けます。
BurpSuiteを流れる
１１．Parameter handlingの「The value I need is dynamic」のチェックを外します。
１２．次に引き継ぎ先のリクエストを、Proxyタブなどで右クリックして、Extensions→Send to CPHを選択します。
１３．CPH Configタブへリクエスト内容がコピーされます。
１４．Friendlynameを任意の名前に変更します。ここでは、replaceRequestとしています。
１５．Scopingを「only on request」に設定します。
１６．ScopingのRegExのチェックを外し、「POST /confirm.php HTTP/1.1」と設定します。
これで、この文字列を含んだリクエストのみ、引き継ぎが実行されます。
１７．Parameter handlingの1)で、「”csrf_token”:”.*”」と置き換え対象の文字列を設定します。RegExにチェックが入っていると、正規表現が利用可能です。
１８．Parameter handlingの3)で、「”csrf_token”:”\g<token>”」と、置き換え後の文字列を設定します。「\g<token>」については、後述します。
１９．Parameter handlingの4)で、プルダウンから「values in the cached response of a previous CPH tab」を選択します。
キャッシュしたレスポンスから値を設定することを意味します。
２０．Parameter handlingの4)で、２つ目のプルダウンから手順７で設定した名前を選択します。キャッシュしたレスポンスのうちどれかを選択することになります。
２１．Parameter handlingの4)で、RegExのテキストボックスに「”csrf_token”:”(?P<token>[0-9a-z]*)”」と置き換え文字列の条件を設定します。
「(?P<token>～)」とすることで、手順１８で「\g<token>」という名前で置き換え文字列の名前付けを行なうことができます。
２２．【重要】最後に、引き継ぎ元と引き継ぎ前のリクエストドメインを、Targetに入れてください。
筆者もよくこの設定を忘れて動かなくてハマります。
２３．以上を設定して、Repeaterを実行することで、リクエスト中のJSONパラメータの置き換えができました！
【最後に】
この拡張機能は私が作ったものではありませんが、日本語で解説された記事が見当たりませんでしたので、今回紹介させて頂きました。
設定内容はBurpSuiteを閉じると消去されるため、設定をエクスポートしておくことをオススメします。
他の使用方法等については、英語ですが公式Wikiをご参照ください。
