【精选】如何发现黑客使用 Burp Suite 软件并进行反制?

admin 2022年5月13日22:03:46评论364 views字数 2372阅读7分54秒阅读模式

如何发现黑客使用 Burp Suite 软件并进行反制?


前言

发现黑客使用 Burp Suite 软件并进行反制是怎么回事呢?Burp Suite相信大家都很熟悉,但是发现黑客使用 Burp Suite 软件并进行反制是怎么回事呢,下面就让利刃信安小编带大家一起了解吧。

发现黑客使用 Burp Suite 软件并进行反制,其实就是利用 Burp Suite 部分特性进行检测,大家可能会很惊讶怎么发现黑客使用 Burp Suite 软件并进行反制呢?但事实就是这样,小编也感到非常惊讶。

这就是关于发现黑客使用 Burp Suite 软件并进行反制的事情了,大家有什么想法呢,欢迎在评论区告诉利刃信安小编一起讨论哦!

检测

经常使用 Burp Suite 的人应该会有留意到,挂着 Burp Suite 的代理是可以访问到 http://burp/ 这个地址的。

【精选】如何发现黑客使用 Burp Suite 软件并进行反制?

image-20220513122437024

【精选】如何发现黑客使用 Burp Suite 软件并进行反制?

image-20220513122519816

这个服务提供了证书下载和从浏览器发送请求和查看响应等功能,除此之外还有一个关键的地方就是它有 favicon 图标。

http://burp/favicon.ico

【精选】如何发现黑客使用 Burp Suite 软件并进行反制?

image-20220513122619013

如果要想从自己的网站上去获取 http://burp/ 的内容就会发生跨域,所以要使用可以跨域的 img 标签。同时配合 onload 事件来判断图片是否加载成功。

<img src="http://burp/favicon.ico" onload=alert('Mannix') >

【精选】如何发现黑客使用 Burp Suite 软件并进行反制?

image-20220513123057757

还可以用 script 标签加 onload 事件来检测,不一定要访问 favicon.ico。

<script src="http://burp/jquery.js" onload=alert('Mannix')></script>

这样两段简单的代码就可以完成对 burp 使用状态的检测。

任意能够识别http://burp或相关内容是否能够访问的方法都可以用来判定是否为攻击者。

反制

蜜罐

当检测到使用burpsuite后,要做的就是给服务器发送请求,标记当前的访问者是个攻击者,然后就可以把他引入蜜罐了。

这个方法原理很简单,使用成本很低,且检测时不容易被注意到。

命令执行

Headless Chrome是谷歌Chrome浏览器的无界面模式,通过命令行方式打开网页并渲染,常用于自动化测试、网站爬虫、网站截图、XSS检测等场景。

近几年许多桌面客户端应用中,基本都内嵌了Chromium用于业务场景使用,但由于开发不当、CEF版本不升级维护等诸多问题,攻击者可以利用这些缺陷攻击客户端应用以达到命令执行效果。

Chromium组件的历史版本几乎都存在着1Day漏洞风险,特别是在客户端软件一般不会维护升级Chromium版本,且关闭沙箱功能,在没有沙箱防护的情况下漏洞可以无限制利用。

低版本Chromium受到多个历史漏洞影响,可以通过v8引擎漏洞执行shellcode从而获得PC权限。

以Render功能演示,利用v8漏洞触发shellcode打开计算器(此处感谢Sakura提供漏洞利用代码)

该漏洞的Root Cause是在进行Math.expm1的范围分析时,推断出的类型是Union(PlainNumber, NaN),忽略了Math.expm1(-0)会返回-0的情况,从而导致范围分析错误,导致JIT优化时,错误的将边界检查CheckBounds移除,造成了OOB漏洞。

用户在通过Render功能渲染页面时触发v8漏洞成功执行shellcode。

【精选】如何发现黑客使用 Burp Suite 软件并进行反制?

img

Render功能需要用户交互才能触发漏洞,相对来说比较鸡肋,能不能0click触发漏洞?答案是可以的。

Burp Suite v2.0的Live audit from Proxy被动扫描功能在默认情况下开启JavaScript分析引擎(JavaScript analysis),用于扫描JavaScript漏洞。

【精选】如何发现黑客使用 Burp Suite 软件并进行反制?

img

其中JavaScript分析配置中,默认开启了动态分析功能(dynamic analysis techniques)、额外请求功能(Make requests for missing Javascript dependencies)

【精选】如何发现黑客使用 Burp Suite 软件并进行反制?

img

JavaScript动态分析功能会调用内置chromium浏览器对页面中的JavaScript进行DOM XSS扫描,同样会触发页面中的HTML渲染、JavaScript执行,从而触发v8漏洞执行shellcode。

额外请求功能当页面存在script标签引用外部JS时,除了页面正常渲染时请求加载script标签,还会额外发起请求加载外部JS。即两次请求加载外部JS文件,并且分别执行两次JavaScript动态分析。

额外发起的HTTP请求会存在明文特征,后端可以根据该特征在正常加载时返回正常JavaScript代码,额外加载时返回漏洞利用代码,从而可以实现在Burp Suite HTTP history中隐藏攻击行为。

逃脱

Proxy --> Options中最下面,勾选如下图的2条即可

一个是关闭http://burp代理一个是关闭burp自带的浏览器错误回显信息

【精选】如何发现黑客使用 Burp Suite 软件并进行反制?

image-20220513131604881

注意

网传使用iframe 标签可以更隐蔽更高效,经测试,iframe不行,会造成误报。不论是否使用 Burp Suite,不论资源使用存在,以下代码都会执行。

<iframe src="http://" onload=alert('Manix')>

甚至下面代码也可以

<iframe onload=alert('Manix')>

【精选】如何发现黑客使用 Burp Suite 软件并进行反制?

image-20220513132757581


原文始发于微信公众号(利刃信安):【精选】如何发现黑客使用 Burp Suite 软件并进行反制?

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年5月13日22:03:46
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【精选】如何发现黑客使用 Burp Suite 软件并进行反制?http://cn-sec.com/archives/1004916.html

发表评论

匿名网友 填写信息