Intruder de Burp Suite

Hola, otra vez yo, anteriormente tratamos el proxy de Burp y una breve introducción a la herramienta, en este caso haremos algo parecido solo que nos centraremos en el módulo de intruder para hacer peticiones consecutivas mediante fuerza bruta, para ello usaremos el sitio web de DVWA que viene instalado en metasploitable 2, sin más empecemos.

 

Al entrar a DVWA tenemos un sitio de logeo, las credenciales por defecto son admin:password al entrar ve al apartado de Brute Force y prueba logearte con el usuario admin y cualquier contraseña(recuerda tener el proxy habilitado en burp para que capture la petición):

 

Y ahí están los campos, vemos que hay uno llamado username que es el nombre de usuario y uno llamada password que es la contraseña, bien lo que haremos ahora es enviar la petición a intruder, para ello click derecho > enviar a intruder o con atajos del teclado pulsando Ctrl + I:

 

Debería verse algo así:

 

 

Una vez lo tenemos en intruder, da click en "Clear" para dejar la petición limpia:

 

Debería quedar así:

 

Ahora solo vamos a seleccionar la parte de la petición la cual queremos modificar a través de repetidas peticiones, en este caso el campo de la contraseña, selecciónalo, dale a Add y te debería quedar algo así:

 

Una vez hecho esto, pasamos a la pestaña de payloads y ahí nos permite definir con que vamos a modificar la parte de la petición seleccionada anteriormente:

 

En este caso como lo que queremos modificar es la contraseña para adivinar la correcta, lo más lógico es usar una lista de contraseñas, por ejemplo rockyou.txt que está ubicada en Kali en /usr/share/wordlists/rockyou.txt (si te sale rockyou.txt.gz simplemente ejecuta "gzip -d /usr/share/wordlists/rockyou.txt.gz" y obtendrás él .txt). Bien, en el apartado de las “Payload options [Simple List]”, da click en “Load” y carga rockyou.txt:

 

Luego da click en el botón de la parte superior que pone “Start attack”:

 

Se te abrirá una nueva ventana que empezará este ataque donde se sustituirá el valor del campo password por cada valor dentro de la lista de contraseñas rockyou:

 

Si te fijas, en el apartado de “Length”, está la longitud de cada solicitud, como ves, la mayoría de solicitudes tienen una longitud de 4882 pero hay una que pesa 4943 que es correspondiente a cuando se intento un logeo con la contraseña password, esto indica a que cuando se inicia sesión con las credenciales admin:password pasa algo que con las demás contraseñas no, si damos click a la solicitud con longitud distinta, veremos la petición:

 

 

Ahora, si damos click en Response y vemos lo que el servidor nos devuelve al internar un logeo con esas credenciales, podemos ver que efectivamente tuvimos acceso:

 

Sin embargo, si miramos la respuesta del servidor cuando nos intentamos logear con otra contraseña, veremos que no nos deja:

 

Ahora en DVWA veamos que efectivamente las credenciales son admin:password:

 

 

Esto es un ejemplo de lo que es capaz de hacer intruder, no solo con contraseñas, las posibilidades son infinitas.