Burp Suite: Inspector

Dalam banyak hal, Inspektur sepenuhnya melengkapi bidang permintaan dan respons dari jendela Pengulang. Jika Anda memahami cara membaca dan mengedit permintaan HTTP, Anda mungkin mendapati bahwa Anda jarang menggunakan Inspector sama sekali.

Meskipun demikian, ini adalah cara yang luar biasa untuk mendapatkan perincian permintaan dan tanggapan yang disempurnakan, serta untuk bereksperimen untuk melihat bagaimana perubahan yang dibuat menggunakan Inspektur tingkat yang lebih tinggi memengaruhi versi mentah yang setara.

Inspektur dapat digunakan di Proxy serta Repeater. Dalam kedua kasus, itu muncul di sisi paling kanan jendela dan memberi kita daftar komponen dalam permintaan dan respons:

Dari jumlah tersebut, bagian permintaan hampir selalu dapat diubah, memungkinkan kita untuk menambah, mengedit, dan menghapus item. Misalnya, di bagian Atribut Permintaan, kita dapat mengedit bagian permintaan yang berhubungan dengan lokasi, metode, dan protokol; misalnya mengubah sumber daya yang ingin kita ambil, mengubah permintaan dari GET ke metode HTTP lain, atau mengalihkan protokol dari HTTP/1 ke HTTP/2:

Bagian lain yang tersedia untuk dilihat dan/atau diedit adalah:

• Query Parameters , yang merujuk pada data yang dikirim ke server di URL. Misalnya, dalam permintaan GET ke https://admin.tryhackme.com/?redirect=false, ada parameter kueri yang disebut "redirect" dengan nilai "false".

• Parameter Body , yang melakukan hal yang sama seperti Parameter Kueri, tetapi untuk permintaan POST. Apa pun yang kami kirim sebagai data dalam permintaan POST akan muncul di bagian ini, sekali lagi memungkinkan kami untuk mengubah parameter sebelum mengirim ulang.

• Cookie Request berisi, seperti yang Anda harapkan, daftar cookie yang dapat dimodifikasi yang dikirim dengan setiap permintaan.

• Request Header memungkinkan kami untuk melihat, mengakses, dan memodifikasi (termasuk menambahkan atau menghapus secara langsung) setiap header yang dikirim dengan permintaan kami. Mengedit ini bisa sangat berguna ketika mencoba melihat bagaimana server web akan merespons header yang tidak terduga.

• Response Header menunjukkan kepada kami header yang dikirim kembali oleh server sebagai tanggapan atas permintaan kami. Ini tidak dapat diedit (karena kami tidak dapat mengontrol header apa yang dikembalikan server kepada kami!). Perhatikan bahwa bagian ini hanya akan muncul setelah kami mengirim permintaan dan menerima tanggapan.

Semua komponen ini dapat ditemukan sebagai teks di dalam bagian permintaan dan tanggapan; namun, mungkin menyenangkan melihatnya dalam format tabel yang ditawarkan oleh Inspektur. Sebaiknya tambahkan, hapus, dan edit header di Inspector untuk merasakan bagaimana versi mentah berubah saat Anda melakukannya.

Repeater paling cocok untuk jenis tugas di mana kita perlu mengirim permintaan yang sama berkali-kali, biasanya dengan perubahan kecil di antara permintaan. Misalnya, kita mungkin ingin menguji kerentanan SQL Injection secara manual (yang akan kita lakukan dalam tugas yang akan datang), mencoba melewati filter firewall aplikasi web, atau sekadar menambah atau mengubah parameter dalam pengiriman formulir.

Untuk saat ini, mari kita mulai dengan contoh yang sangat sederhana: menggunakan Repeater untuk mengubah header dari permintaan yang kita kirim ke target.