Статья Расширение HackBar для Burp Suite и для браузеров

73828a4046f231d23c1f974bf303a498 (1).jpg


Доброго времени суток, уважаемые форумчане! Продолжаю писать статьи, которые смогут помочь тем, кто решил освоить курс WAPT от Академии Codeby, Так сложилась судьба, что мне предложили стать куратором этого курса. Не скажу, что у меня сильно получается, но пару дебильных советов все-таки дать могу. Так вот, в ходе общения со студентами нередко слышу их недовольства относительно того, что не хватает материала или не хватает того, что могло бы помочь решить ту или иную задачу. Друзья мои, в методических разработках и видеоуроках содержится полный объем базовых знаний, необходимых для того, чтобы понять физику процесса, многие частности вам придется искать в сети, а без этого никуда. В формат курса невозможно вложить всю теорию по программе подготовки. Вспомните институт, где люди учатся 4-5 лет. И нигде вам не дадут методичку или учебник, где есть вообще все. А 80% литературы обычно является дополнительной, которую надо взять в библиотеке или скачать из Интернета. Поэтому, как говорится, флаг в руки и вперед на амбразуру. К тому же кураторы регулярно кидают полезные ссылки, где можно найти нужную информацию.

Мне, честно говоря, очень жалко ребят, которые приходят учиться, не обладая базовыми знаниями по многим вопросам, курс то реально сложный. Я это знаю, как никто другой, потому как сам прошел это «чистилище» практически с нуля. Вот поэтому и делюсь теми «фишками», которые помогли мне достаточно успешно его закончить.

Сегодня мы рассмотрим очень полезный инструмент, который должен здорово помочь ученикам при прохождении курса. Он не относится к разряду средств автоматизации, а потому разрешен в процессе обучения и сдачи экзамена. Это HackBar. В сети можно найти достаточно материала по этому инструменту и очень сложно быть оригинальным в этом вопросе, поэтому я решил рассмотреть все его возможные вариации на нескольких практических примерах. Будем крутить union-based sql-инъекцию. Хотя инструмент способен помочь в эксплуатации различных уязвимостей, таких как XXE, XXS, LFI, RFI, а также поможет обходить фильтрацию, имеет встроенный кодировщик и ряд других функций. Короче, очень удобный инструмент для веб-пентеста. По сути, в него зашито большое количество пейлоадов на все случаи жизни, которые вы можете подставлять в уязвимые места. Это должно сэкономить массу времени и исключить возможные ошибки при наборе запросов.

Итак, начнем.

HackBar существует в виде нескольких вариаций расширения браузера и в качестве плагина для Burp Suite. Начнем с последнего, так как он просто устанавливается и легко используется, правда его функционал несколько уступает браузерным расширениям.


Расширение Hack Bar для Burp Suite

Для его установки необходимо запустить Burp Suite, перейти во вкладку Extender – BApp Store, найти в списке расширений HackBar Payload Backet и нажать кнопку Install (Рис. 1)

1656325856958.png


Рис. 1. Установка HackBar в Burp Suite


Теперь он прописался в контекстном меню Burp Suite и его можно вызвать нажатием правой кнопки мыши Extantion – HackBar Payload Backet – HackBar (Рис. 2). Выбрав нужный пункт, мы получим готовый sql-запрос.

1656325973137.png

Рис. 2. Запуск HackBar в Burp Suite


Допустим, мы нашли место, где есть sql-инъекция и хотим получить список баз данных. В месте, куда мы хотим вставить запрос после union select нажимаем правую кнопку мыши и следуем по меню, как изображено на рис. 3 и 4.


1656326041545.png

Рис. 3. Формирование запроса на получение списка БД


1656326081515.png

Рис. 4. Результат запроса на получение списка БД


Для получения списка таблиц текущей БД делаем аналогично тому, что изображено на рис. 5

1656326147490.png


Рис. 5. Формирование запроса на получение списка таблиц


И получим (Рис. 6)

1656326206110.png


Рис. 6. Результат запроса на получение списка таблиц


Здесь можно было бы закончить и перейти к следующим вариантам, но не могу не остановится на такой интересной вещи, как DIOS. DIOS (dump in one shot) – метод, позволяющий выгрузить все данные за один запрос к БД. Техника применяется в Union Base SQL инъекциях, то есть с выводом результатов запросов в браузер. Когда я изучал эту тему на курсе, то она мне понравилась всем, кроме одного – я долго не мог понять, как написать такой запрос. Прикиньте, вам надо изобразить что-то подобное:

union select

concat/***/(0x223e3c2f7461626c653e3c2f6469763e3c2f613e3c666f6e7420636f6c6f723d677265656e3e3c62723e3c62723e3c62723e,0x3c666f6e7420666163653d63616d62726961207374796c653d726567756c61722073697a653d3320636f6c6f723d7265643e7e7e7e7e7e3a3a3a3a3a496e6a6563746564206279416c69204b68616e3a3a3a3a3a7e7e7e7e7e3c62723e3c666f6e7420636f6c6f723d626c75653e2056657273696f6e203a3a3a3a3a3a3a203c666f6e7420636f6c6f723d677265656e3e,version(),0x3c62723e3c666f6e7420636f6c6f723d626c75653e204461746162617365203a3a3a3a3a3a3a203c666f6e7420636f6c6f723d677265656e3e,database(),0x3c62723e3c666f6e7420636f6c6f723d626c75653e2055736572203a3a3a3a3a3a3a203c666f6e7420636f6c6f723d677265656e3e,user(),0x3c62723e3c666f6e7420636f6c6f723d7265643e205461626c657320203c2f666f6e743e203a3a3a3a3a3a3a3a3a3a3a3a203c666f6e7420636f6c6f723d677265656e3e436f6c756d6e733c2f666f6e743e3c666f6e7420636f6c6f723d626c75653e,@:=0,%28Select+count(*)from%28information_Schema.columns)where(table_schema=DATABASE())[email protected]:=concat/**/(@,0x3c6c693e,0x3c666f6e7420636f6c6f723d7265643e,table_name,0x3c2f666f6e743e203a3a3a3a3a3a3a3a3a3a3a2020203c666f6e7420636f6c6f723d677265656e3e,column_name,0x3c2f666f6e743e)),@,0x3c62723e3c62723e3c62723e3c62723e3c62723e3c62723e3c62723e3c62723e3c62723e)--

Для человека неопытного это, выражаясь научным языком – полный пи@#$ц, хотя штука очень полезная. Так вот в HackBar эта технология присутствует в различных вариациях для разных СУБД. На рис. 7 показан вывод всех столбцов во всех таблицах текущей БД.

1656327927677.png


Рис. 7

Ну на этом по расширению HackBar в Burp Suite можно закончить и оставить вам место для самостоятельных исследований. Перейдем к браузерным расширениям.

Расширение HackBar для браузера CyberFox


Cyberfox – это мощный браузер, оптимизированный под 64-разрядные операционные системы (наряду с версией 64-бит существует и 32-битная модификация этого браузера). Cyberfox основан на движке популярного веб-браузера Mozilla Firefox, но в отличии от последнего более производителен за счёт оптимизации на аппаратном уровне – разработчиком предлагаются разные версии Cyberfox, специально оптимизированные под процессоры Intel или AMD.

Ссылок на скачивание этого браузера, хотя везде написано, что поддержка Cyberfox закрыта. Вот одна из ссылок:
https://www.comss.ru/page.php?id=1826&ysclid=l4wislqfoy538520272

HackBar Находим по ссылке https://github.com/PhHitachi/HackBar/tree/master/Hackbar

Затем в настройках браузера находим Add-ons – Extentions и устанавливаем, выбирая «Установить из файла». Получаем такую прелесть (Рис. 8).

1656326554660.png


Рис. 8

Нажав кнопку Load URL, мы загрузим в окно HackBar адрес атакуемого сайта, а дальше начинаем с ним работать. Функционал этого расширения значительно выше, чем у плагина Burp Suite, но есть и свои минусы. Мне, например, с POST-запросами работать удобнее в Burp Suite, чем здесь. Ниже, на примере рассмотрим, как запросом вывести имя текущего юзера, название и версию БД.

Используем вкладку Union Based – Basic Statements – User(),Database(),Version(). (Рис. 9)

1656326639106.png


Рис. 9

Кроме того, эта версия имеет неплохой кодировщик, что тоже очень удобно (Рис 10 и 11).

1656326707415.png


Рис. 10

1656326758284.png


Рис. 11

Расширение HackBar для Браузера Firefox

Бесплатный плагин HackBar для браузера Firefox можно скачать по ссылке https://addons.mozilla.org/ru/firefox/addon/hackbar-free/.


Из всех вариантов он оказался самым дохленьким, может потому что бесплатный. Наверняка платная версия обладает полным функционалом, не проверял, мне достаточно того, что выше. Может вам повезет, и вы для «Огненной лисы» найдете бесплатный плагин. Расширение появится в режиме разработчика (при открытом браузере нажать F12). Увидите, что появилась новая вкладка HackBar (Рис. 12).

1656326872296.png



Наверняка веб-программистам будет удобнее и привычнее работать именно в таком варианте. Принцип его работы аналогичен предыдущему, поэтому мы не будем акцентировать на нем внимание. Ну, а я на этом заканчиваю вам надоедать. Надеюсь, этот, написанный на коленке бред будет хоть кому-нибудь полезен. Спасибо за внимание!
 
Последнее редактирование модератором:

ED_user

Green Team
04.10.2020
71
7
Спасибо автору, обязательно ознакомлюсь с данным инструментом.
 

BAO

Green Team
11.09.2019
68
42
Да да да. Помню как ты мне подсказал этот инструмент для Burp и как он облегчил мне жизнь в некоторых тасках.
Вот расширение для браузера мне не зашло. ИМХО. Я лично инклудил таблицу ASCII в обои своего рабочего стола (Мастер фотошопа💪)😄
 
  • Нравится
Реакции: Maksim_K
Мы в соцсетях: