Practica 1: BurpSuite – Entendiéndolo un poco
En esta práctica de Burpsuite vamos a entender su funcionamiento. Para ello vamos a utilizar la
parte web Owaspbricks y OWASP Mutillidae II de OWASP Broken Web Applications Project.
Primero entraremos en OWASP Mutillidae II. Una vez dentro activa el burpsuite como hemos
aprendido en la práctica de instalación. Te dejo aquí unos pequeños pasos por si no te acuerdas:
• Activar el Proxy
• Abrir el navegador donde tengamos FoxyProxy y activarlo.
• También puedes usar el navegador por defecto del Burpsuite.
pág. 1
Una vez hecho esto simplemente recargaremos la página principal “<tu ip>/Mutillidae/” y
veremos la petición del Burpsuite.
¡¡IMPORTANTE!! (NOS DEBEMOS FIJAR EN QUE LAS PETICIONES SEAN DEL SERVIDOR QUE
QUEREMOS) Aunque no nos interese le daremos Forward (El burpsuite estará capturando todo
lo que pasa en el navegador, es normal recibir “basura”)
NO NOS INTERESA
- Esto nos interesa.
Nos interesa (Pondrá la ip de tu maquina victima)
- Ahora vamos a ver las cosas básicas de esta petición:
• GET /mutillidae /: La primera línea hace referencia al tipo de petición. En este
caso GET esto quiere decir que estamos solicitando un recurso del servidor
web (Estamos solicitando Mutillidae). La petición podría ser POST esto lo
veremos más adelante.
• Host: 192.168.1.188: Es el nombre (en este caso IP) sobre el que hacemos la
petición.
• User-Agent: Hace referencia al navegador que estamos usando.
• Cookie: Son las cookies de la sesión actual en la web.
Bien… Ahora a lo mejor te estas preguntando de que te sirve a ti o a un hacker saber todo esto.
Pues es muy importante porque el servidor web recoge estos datos y trabaja con ellos… ¿Qué
pasa si los modificamos a nuestro gusto?
pág. 2
- Aquí veremos un ejemplo claro:
Podemos ver el campo de Cookie dos valores que pueden llamar la atención (Recordemos que
las cookies son una forma de asociar a un usuario a una sesión autenticada o no…) El valor
username vale user y el uid (user identifier) vale 18. Un atacante en ese caso podría cambiar los
valores a username=admin y uid=1 e iniciar sesión como administrador sin necesidad de la
contraseña.
¡Pruébalo tu mismo!
- Inicia sesión en OWASP Mutillidae II el usuario y contraseña es user:user
pág. 3
- Veremos un panel de inicio de sesión (Recuerda usuario y contraseña user:user) Quiero que
captures la petición de inicio de sesión. Veremos algo así.
Datos que se envían por POST
- Esta vez es una petición POST, esto significa que estamos mandando datos al servidor. Realiza
la petición dándole a Forward (tendrás que darle a forward varias veces suelen ser varias
peticiones). Iniciaras sesión.
- Ahora haremos lo de antes. Recarga la pagina y en el proxy veras algo así.
pág. 4
- Cambia el valor de username a admin y el valor de uid a 1
- Deja pasar las peticiones y mira lo que pasa en la web.
Ahora ya sabes la importancia de Burpsuite a la hora de hacer hacking web. Vamos a ver otro
ejemplo.
- Entra ahora en OwaspBricks (Para moverte más rápido puedes desactivar el proxy)
- Una vez dentro veremos algo así. Entraremos a Content Pages
pág. 5
- Tendremos que entrar en Content #4
Aquí veremos como modificar el User Agent para detectar vulnerabilidades. En este caso será
un SQL injection (Ahora mismo no sabes lo que es esto, pero lo veras más adelante en el tema)
Cuando entremos veremos esto.
- En este ejemplo el servidor esta verificando si el usuario existe mediante el user agent. Esto es
algo irreal pero no imposible. Hay veces que algunas páginas web verifican el user agent para
ver desde donde se está accediendo, bloquearlos o cambiar la respuesta de la web. Por ejemplo,
el user agent de un móvil puede hacer que cambien los estilos de la web.
pág. 6
Bien ahora enciende el proxy y recarga la página. Deberías ver algo así.
- Mándalo al repeater. (Puedes hacerlo desde Action o pulsando Windows+R) Ahora ve al
repeater.
pág. 7
- Dale a Send sin modificar nada y veras que la respuesta será la misma que antes.
- Ahora modifica el user agent borrando todo el contenido y poniéndole una comilla (‘)
pág. 8
- Observa la respuesta. ¿Observas algo raro? Deberías ver algo así.
- Hemos causado un error SQL. Lo aprenderemos a explotar al final del tema. Esta vulnerabilidad
no podríamos explotarla sin un software externo al navegador. Ya has visto la importancia de
Burpsuite.
Para demostrar que esta práctica está hecha debes enseñar como te has logueado desde admin
desde el burpsuite y como has llegado al error de arriba.
pág. 9
