如何发现黑客使用 Burp Suite 软件并进行反制？

前言

发现黑客使用 Burp Suite 软件并进行反制是怎么回事呢？Burp Suite相信大家都很熟悉，但是发现黑客使用 Burp Suite 软件并进行反制是怎么回事呢，下面就让利刃信安小编带大家一起了解吧。

发现黑客使用 Burp Suite 软件并进行反制，其实就是利用 Burp Suite 部分特性进行检测，大家可能会很惊讶怎么发现黑客使用 Burp Suite 软件并进行反制呢？但事实就是这样，小编也感到非常惊讶。

这就是关于发现黑客使用 Burp Suite 软件并进行反制的事情了，大家有什么想法呢，欢迎在评论区告诉利刃信安小编一起讨论哦！

检测

经常使用 Burp Suite 的人应该会有留意到，挂着 Burp Suite 的代理是可以访问到 http://burp/ 这个地址的。

这个服务提供了证书下载和从浏览器发送请求和查看响应等功能，除此之外还有一个关键的地方就是它有 favicon 图标。

http://burp/favicon.ico

如果要想从自己的网站上去获取 http://burp/ 的内容就会发生跨域，所以要使用可以跨域的 img 标签。同时配合 onload 事件来判断图片是否加载成功。

<img src="http://burp/favicon.ico" onload=alert('Mannix') >

还可以用 script 标签加 onload 事件来检测，不一定要访问 favicon.ico。

<script src="http://burp/jquery.js" onload=alert('Mannix')></script>

这样两段简单的代码就可以完成对 burp 使用状态的检测。

任意能够识别http://burp或相关内容是否能够访问的方法都可以用来判定是否为攻击者。

反制

蜜罐

当检测到使用burpsuite后，要做的就是给服务器发送请求，标记当前的访问者是个攻击者，然后就可以把他引入蜜罐了。

这个方法原理很简单，使用成本很低，且检测时不容易被注意到。

命令执行

Headless Chrome是谷歌Chrome浏览器的无界面模式，通过命令行方式打开网页并渲染，常用于自动化测试、网站爬虫、网站截图、XSS检测等场景。

近几年许多桌面客户端应用中，基本都内嵌了Chromium用于业务场景使用，但由于开发不当、CEF版本不升级维护等诸多问题，攻击者可以利用这些缺陷攻击客户端应用以达到命令执行效果。

Chromium组件的历史版本几乎都存在着1Day漏洞风险，特别是在客户端软件一般不会维护升级Chromium版本，且关闭沙箱功能，在没有沙箱防护的情况下漏洞可以无限制利用。

低版本Chromium受到多个历史漏洞影响，可以通过v8引擎漏洞执行shellcode从而获得PC权限。

以Render功能演示，利用v8漏洞触发shellcode打开计算器（此处感谢Sakura提供漏洞利用代码）

该漏洞的Root Cause是在进行Math.expm1的范围分析时，推断出的类型是Union(PlainNumber, NaN)，忽略了Math.expm1(-0)会返回-0的情况，从而导致范围分析错误，导致JIT优化时，错误的将边界检查CheckBounds移除，造成了OOB漏洞。

用户在通过Render功能渲染页面时触发v8漏洞成功执行shellcode。

Render功能需要用户交互才能触发漏洞，相对来说比较鸡肋，能不能0click触发漏洞？答案是可以的。

Burp Suite v2.0的Live audit from Proxy被动扫描功能在默认情况下开启JavaScript分析引擎（JavaScript analysis），用于扫描JavaScript漏洞。

其中JavaScript分析配置中，默认开启了动态分析功能（dynamic analysis techniques）、额外请求功能（Make requests for missing Javascript dependencies）

JavaScript动态分析功能会调用内置chromium浏览器对页面中的JavaScript进行DOM XSS扫描，同样会触发页面中的HTML渲染、JavaScript执行，从而触发v8漏洞执行shellcode。

额外请求功能当页面存在script标签引用外部JS时，除了页面正常渲染时请求加载script标签，还会额外发起请求加载外部JS。即两次请求加载外部JS文件，并且分别执行两次JavaScript动态分析。

额外发起的HTTP请求会存在明文特征，后端可以根据该特征在正常加载时返回正常JavaScript代码，额外加载时返回漏洞利用代码，从而可以实现在Burp Suite HTTP history中隐藏攻击行为。

逃脱

在Proxy --> Options中最下面，勾选如下图的2条即可

•一个是关闭http://burp代理•一个是关闭burp自带的浏览器错误回显信息

注意

网传使用iframe 标签可以更隐蔽更高效，经测试，iframe不行，会造成误报。不论是否使用 Burp Suite，不论资源使用存在，以下代码都会执行。

<iframe src="http://" onload=alert('Manix')>

甚至下面代码也可以

<iframe onload=alert('Manix')>

原文始发于微信公众号（利刃信安）：【精选】如何发现黑客使用 Burp Suite 软件并进行反制？