Burp Sequencer est un module permettant de tester la fiabilité d'éléments générés aléatoirement (cookies de session par exemple). Le mode “live capture” permet une analyse pendant la navigation alors que le mode “manual load” permet une analyse a posteriori de composants de pages déjà capturées par BurpSuite.
L'onglet option permet de paramétrer les différents paramètres de l'analyse.
Deux familles de tests sont effectués :
FIPS (Federal Information Processing Standards) correspond à une norme de traitement de l'information validée par le NSIT (National Institute of Standards and Technology).
Les résultats doivent être comparés à un seuil de signification (“significance level”). Le seuil de signification est le niveau au-dessous duquel les erreurs ou risques d’erreurs relevés ne sont pas de nature à remettre en cause l'hypothèse testée (c'est à dire le postulat de départ : le token est généré aléatoirement). En d'autres termes, le seuil de signification correspond au risque d'erreur accepté. Plus celui-ci est bas, et plus les résultats obtenus sont fiables. Inversement, plus celui-ci est élevé, plus le risque d'erreur est important.
Afin de maximiser la fiabilité des résultats obtenus, l'échantillon doit idéalement être composé de 20000 tokens. Néanmoins, il est possible d'analyser les résultats dès obtention de 100 tokens, afin d'avoir un bref apercu.
Par ailleurs, il est possible d'obtenir de mauvais résultats alors que le token est généré aléatoirement (faux négatifs) et a contrario, d'obtenir de bons résultats alors que l'échantillon est généré en répondant à une logique non détectée avec les tests du “sequencer” (faux positifs).
Le rapport d'analyse produit des graphique par onglets. Le premier rapport est un résumé (summary) de l'analyse. Il note de manière globale le degré de fiabilité des tokens (excellent, good, poor, extremely poor, …).Par ailleurs, un graphique affiche également le degré d'entropie1) des tokens analysés. Les figures suivantes montrent deux rapports aux résultats opposés : l'un mauvais, l'autre excellent.
La première étape consiste à envoyer une requête au sequencer. Pour ce faire, le plus simple est de se rendre à l'onglet proxy > history, de sélectionner une requête possédant une information dans la colonne cookies, puis de sélectionner l'option “send to sequencer” à partir du menu contextuel (clic droit). Les autres modes de sélection (cookie, form field) permettent une reconnaissance des chaînes, mais la sélection manuelle reste la plus efficace.
Les options du mode “live capture” sont les suivantes :
Ce mode permet le chargement d'un fichier de token à des fins d'analyse. Les boutons sont les suivants :
Les options tokens permettent de spécifier le comportement du sequencer dans le cas de tokens à longueur variable