El comparador, diferencias y ruido

El comparador de Burp ofrece dos modos. Por palabras, divide cada elemento en tokens separados por espacios y muestra los cambios token a token: sirve para texto, como cabeceras y HTML. Por bytes, compara byte a byte y exige bastante más procesamiento: se usa cuando el contenido no es texto o cuando una diferencia de un solo byte importa. Los resultados se colorean según lo que haya que hacer para convertir el primer elemento en el segundo: modificar, eliminar o añadir.

En el laboratorio, la salida de cada par ya viene en modo palabras, con las columnas tipo, elemento 1 y elemento 2.

El par 1 compara dos respuestas del formulario de acceso con una clave errónea. Una es de un correo de prueba que tiene cuenta y la otra, de uno creado para la prueba que no la tiene; los entregó el cliente y no se usan otros. Las páginas se parecen, pero el comparador muestra qué las separa. Lee comparacion-par1.txt: alguna diferencia es de contenido y alguna de cabecera.

El par 2 no compara dos usuarios: compara dos cargas de la misma página con la misma sesión, unos minutos aparte. Aun así el comparador marca cambios: la hora, un token que la página genera en cada carga, un contador de visitas y, como consecuencia, el tamaño. Esas diferencias son normales y esperables. Si se tomaran por señal de un hallazgo, se acabaría reportando un falso positivo, igual que una regla que salta por un cambio de hora.

Antes de dar importancia a una diferencia hay que comprobar si se repite al enviar lo mismo dos veces. El par 2 es esa comprobación.

El tamaño de la respuesta es la primera señal que el comparador resume. En el par 1, las dos respuestas pesan casi lo mismo, y esa cercanía engaña: una diferencia pequeña también es una diferencia. Cada una de ellas viene de algo concreto, como una cabecera extra y un mensaje más largo, y se puede explicar fila por fila con la comparación.

Lee las cabeceras Content-Length de los dos archivos del par 1 y calcula cuánto más pesa la respuesta de la cuenta que existe.

Lo que muestra el par 1 es una enumeración de usuarios: la aplicación revela, por el mensaje, por el tamaño y por una cabecera, si una cuenta existe. No permite entrar sin contraseña, y por eso no es crítico, pero facilita otros ataques, como probar contraseñas solo contra cuentas confirmadas. El informe lo recoge con gravedad baja o media, con las dos respuestas como evidencia y con el arreglo: el mismo mensaje, el mismo tamaño y las mismas cabeceras para cualquier correo.

Se hizo con dos correos de prueba. Demostrar la diferencia no exige probar listas de direcciones de personas.