Burp Suite للمبتدئين: الوكيل، المكرر، والمتطفل في المختبر

التثبيت وتكوين المتصفح

يبدأ التنفيذ الصحيح بالمتطلبات وليس بالافتراضات. قم بتحديد حالات الاستخدام المدعومة، حجم البيانات، من يدير التكوين، وآلية التراجع. في Burp Suite للمبتدئين، يجب الفصل بين الإعدادات التي تنتج بيانات تتبع الأداء والإعدادات التي تقوم بتصفية أو إثراء هذه البيانات.

بعد التكوين، قم بإجراء اختبار محكوم ببيانات متوقعة، وتأكد من تسجيل الحدث، وأن الحقول الرئيسية موجودة، وأن التغيير لم يسبب عبئًا أو نقطة عمياء. يتم حفظ كل تغيير في الإصدار، مع التاريخ، المالك، السبب، ونتيجة الاختبار.

نطاق الهدف وتاريخ الوكيل

تُبنى عملية Burp Suite للمبتدئين من مراحل ذات نقاط توقف. تحدد هدفًا، نطاقًا، مصادر، إجراءات مسموح بها، أدلة مطلوبة، أصحاب أدوار، ومعيار للانتهاء. في البيئات الهجومية، تُضاف شروط إيقاف وقناة طوارئ.

في كل مرحلة، يجب أن يكون هناك مخرجات واضحة: خريطة أصول، جدول زمني، نتيجة، قاعدة، دليل إرشادي، أو تقرير. لا يتم الانتقال إلى المرحلة التالية إلا عندما تكون المخرجات كافية وموثوقة؛ وهذا يمنع العمل العشوائي أو توسيع النطاق دون إذن.

Repeater

يُعد موضوع 'المكرر' (Repeater) جزءًا أساسيًا من العمل على Burp Suite للمبتدئين. يُنصح بتقسيمه إلى ثلاثة أسئلة: ما هو المدخل؟ ما هو القرار المراد اتخاذه؟ وما هو الدليل الكافي لتبريره؟ تمنع هذه الأسئلة الاستخدام التلقائي للأداة دون فهم الهدف.

في التدريب، قم بتسجيل الوكيل (Proxy)، وسجل HTTP (HTTP history)، والمكرر (Repeater)، والمتطفل (Intruder)، والمقارن (Comparer)، وقارن بالسلوك المتوقع، وحدد نقطة محورية (Pivot) واحدة على الأقل. يجب أن تكون النتيجة قابلة للفحص من قبل محلل إضافي، بما في ذلك القيود والخطوات التالية.

Intruder المُتحكَّم فيه

يُعد موضوع 'المتطفل المُتحكَّم فيه' (Intruder controlled) جزءًا أساسيًا من العمل على Burp Suite للمبتدئين. يُنصح بتقسيمه إلى ثلاثة أسئلة: ما هو المدخل؟ ما هو القرار المراد اتخاذه؟ وما هو الدليل الكافي لتبريره؟ تمنع هذه الأسئلة الاستخدام التلقائي للأداة دون فهم الهدف.

في التدريب، قم بتسجيل الوكيل (Proxy)، وسجل HTTP (HTTP history)، والمكرر (Repeater)، والمتطفل (Intruder)، والمقارن (Comparer)، وقارن بالسلوك المتوقع، وحدد نقطة محورية (Pivot) واحدة على الأقل. يجب أن تكون النتيجة قابلة للفحص من قبل محلل إضافي، بما في ذلك القيود والخطوات التالية.

حفظ الأدلة والمشروع

موضوع "حفظ الأدلة والمشروع" هو جزء أساسي من العمل على Burp Suite للمبتدئين. يُنصح بتقسيمه إلى ثلاثة أسئلة: ما هو المدخل؟ ما هو القرار المراد اتخاذه؟ وما هو الدليل الكافي لتبريره؟ تمنع هذه الأسئلة الاستخدام التلقائي للأداة دون فهم الهدف.

في التدريب، قم بتسجيل الوكيل (Proxy)، وسجل HTTP (HTTP history)، والمكرر (Repeater)، والمتطفل (Intruder)، والمقارن (Comparer)، وقارن بالسلوك المتوقع، وحدد نقطة محورية (Pivot) واحدة على الأقل. يجب أن تكون النتيجة قابلة للفحص من قبل محلل إضافي، بما في ذلك القيود والخطوات التالية.

نقاط اختبار فريدة

في هذا الموضوع، يُنصح ببناء خريطة أدلة مركزة مسبقًا. نقاط الاختبار الرئيسية هي: Proxy, HTTP history, Repeater, Intruder, Comparer, scope controls. القائمة ليست قائمة تحقق تلقائية؛ يتم اختيار كل عنصر لأنه يمكن أن يربط بين كيان، فعل، ووقت أو يشرح سلوكًا مشروعًا.

• الوكيل (Proxy): حدد القيمة المتوقعة، وما سيعتبر غير عادي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• سجل HTTP (HTTP history): حدد القيمة المتوقعة، وما سيعتبر غير عادي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• المكرر (Repeater): حدد القيمة المتوقعة، وما سيعتبر غير عادي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• المتطفل (Intruder): حدد القيمة المتوقعة، وما سيعتبر غير عادي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• المقارن (Comparer): حدد القيمة المتوقعة، وما سيعتبر غير عادي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.
• ضوابط النطاق (scope controls): حدد القيمة المتوقعة، وما سيعتبر غير عادي، وما هو المصدر الإضافي الذي سيؤكد النتيجة.

عندما يكون أحد التركيزات غير متاح، يجب توثيق الفجوة واختيار بديل. على سبيل المثال، إذا كان معرف العملية غير مستقر، يمكن استخدام الوقت، المضيف، المستخدم، والوالد؛ إذا كانت الحمولة مشفرة، يتم استخدام البيانات الوصفية، الحجم، التردد، وسياق TLS/DNS.

سير عمل موصى به

1. حدد نطاقًا وسؤال عمل واحدًا حول Burp Suite للمبتدئين.
2. سجل مصادر البيانات والأدلة المطلوبة: Proxy, HTTP history, Repeater, Intruder.
3. أنشئ خط أساس قصير لسلوك طبيعي أو نتيجة متوقعة.
4. قم بإجراء الحد الأدنى من الاختبار في بيئة معملية واحفظ الوقت، المدخلات، والمخرجات.
5. أنشئ جدولًا زمنيًا أو جدول مقارنة وافصل بين الحقيقة والتفسير.
6. قم بالتحول إلى مصدر إضافي لتأكيد أو دحض التفسير الأولي.
7. لخص القرار، القيود، الإجراء الموصى به، ومعيار إعادة الاختبار.

سيناريو عملي

السيناريو المختار هو تغيير طلب لتطبيق مختبري ومقارنة الاستجابات. الهدف من التمرين ليس إثبات القدرة على الهجوم، بل ممارسة جمع، مقارنة، وتوثيق البيانات بطريقة آمنة. قبل البدء بالعمل، يتم تحديد بيانات وهمية، نافذة زمنية، ونتيجة متوقعة.

في نهاية التمرين، يجب تقديم منتج يمكن لمحلل أو مختبر آخر مراجعته: لقطة شاشة أو تصدير للدليل، جدول زمني قصير، افتراض أولي، دليل مؤكد، قيود، وتوصية. عندما لا يكون هناك دليل كافٍ، فإن الاستنتاج الصحيح هو أن السيناريو لم يثبت.

قائمة تحقق عملية

• ✓التحقق والتوثيق: الدور والجلسة.
• ✓التحقق والتوثيق: نقطة النهاية والأسلوب.
• ✓التحقق والتوثيق: الطلب/الاستجابة.
• ✓التحقق والتوثيق: معرف الكائن.
• ✓التحقق والتوثيق: التأثير من جانب الخادم.
• ✓التحقق والتوثيق: التحكم المتوقع والإصلاح.
• ✓اذكر المنطقة الزمنية، إصدار الأداة، ووقت التجميع.
• ✓احفظ البيانات الخام قبل التصفية أو التغيير.
• ✓اكتب ما يثبته الاكتشاف وما لا يزال مجهولاً.
• ✓حدد المالك والإجراءات اللاحقة مع الموعد.

أخطاء شائعة

• فحص رمز الحالة فقط.
• الاعتماد على تغيير من جانب العميل.
• استخدام حمولة خطيرة.
• عدم فحص أدوار مختلفة.
• تجاهل منطق الأعمال.
• الإبلاغ بدون طلب/استجابة نظيفة.

ملخص و-CTA

Burp Suite للمبتدئين: الوكيل، المكرر، والمتطفل في المختبر هو موضوع يربط المعرفة التقنية بالانضباط في العمل. ابدأ بسؤال، اجمع الأدلة ذات الصلة فقط، حافظ على السياق والوقت، واختر إجراءً يمكن تبريره وإعادة اختباره.

في مسار Cybersecurity & AI من HPI، يتم ممارسة هذه المبادئ باستخدام الأنظمة، السجلات، والمختبرات. الخطوة الطبيعية التالية هي الانتقال إلى المقالات المرتبطة، وإجراء تمرين المختبر، وحفظ الناتج كجزء من محفظة أعمال مهنية.

الأسئلة الشائعة