Sekarang, sebelum kita menggali lebih dalam tentang cara mengeksploitasi dan menemukan kerentanan, saya ingin berhenti sejenak dan
kembali sebentar dan melihat apa yang sebenarnya terjadi ketika pengguna mengklik tautan tertentu.
Jadi kita punya di sini kita memiliki situs klien.
Jadi ini adalah komputer Anda dengan situs web email yang ditampilkan kepada pengguna.
Jadi ini semua dimuat di komputer Anda, di klien.
Dan kemudian kami memiliki server, yang berisi kode yang dijalankan jika situs web berfungsi dan jika
menggunakan kode.
Jadi ketika Anda mengklik link.
Situs Web e-mail atau sisi klien, bagian dari halaman situs web akan menghasilkan permintaan sehingga tidak akan benar-benar
melakukan perhitungan apa pun hampir sepanjang waktu.
Sekarang, terkadang ada kode sisi klien dan kita akan melihatnya.
Tetapi biasanya kode situs klien akan menghasilkan permintaan yang dikirim ke situs web, ke server Web, dan
server Web akan memiliki beberapa kode fungsional seperti BHP atau Python, Ruby, bahasa pemrograman apa pun.
Dan itulah sebagian besar waktu kode berinteraksi dengan database, mendapatkan semacam informasi, dan
kemudian mengirimkan informasi tersebut sebagai respons ke situs web, ke browser dan browser akan ditampilkan
sebagai HTML.
Jadi kode, kode fungsional atau kode komputasi biasanya disimpan di sisi server.
Dan cara sebagian besar situs web ini bekerja adalah mereka menghasilkan permintaan, mereka mengirimkannya ke server,
server, menjalankan permintaan dan mengirimkannya kembali.
Jadi ketika kami mencoba untuk meretas ke situs web dan mengeksploitasinya, kami biasanya bermain dengan permintaan
dan mencoba untuk mengubah permintaan itu sehingga melakukan beberapa tindakan yang akan membantu kami untuk mendapatkan informasi atau menjalankan beberapa
jenis kode tertentu yang akan memberi kami koneksi terbalik.
Sekarang, ada dua jenis request, ada get request dan post request.
Mari kita ambil sebuah contoh, jadi jika kita pergi ke sini pada penyertaan terakhir, Anda akan melihat
bahwa kita memiliki sebuah variabel bernama Page dan nilainya adalah include itu.
Jadi di sini, ini adalah permintaan get karena kita bisa melihat nilainya di URL.
Jadi kita bisa melihat halaman itu sama dengan itu.
Jadi halaman ini meminta halaman lain untuk memasukkan halaman lain yang disebut Index Dot.
Sekarang, kita tidak akan membahas secara rinci apa artinya itu.
Yang kami khawatirkan hanyalah memiliki contoh, dan inilah contohnya.
Jadi ini adalah variabel yang kami beri nilai, yaitu Halaman, dan kami memberinya
nilai sertakan Dogpatch.
Jadi itu permintaan get.
Contoh permintaan posting adalah unggahan file, jadi jika kita pergi ke unggah file ketika Anda mengunggah sesuatu di
sini.
Jadi izinkan saya mengunggah sesuatu.
Anda akan melihat bahwa URL tidak diubah, tetapi permintaan, pengertian situs web, gambar sebenarnya
diunggah di server dan semua itu, tetapi URL masih terlihat sama.
Tetapi situs web memang mengirim informasi.
Jadi situs web Hatami memang mengirim informasi ke server.
Anda hanya tidak melihat informasi di sini karena dikirim sebagai pos alih-alih dapatkan.
Jadi.
Masalah pertama sekarang adalah kami tidak dapat melihat biaya poster, kami tidak dapat mengubahnya
karena biaya tersebut belum ditampilkan di sini di dalam URL, kami dapat mengubahnya langsung dari URL.
Masalah lain adalah banyak situs web ini di masa depan akan digunakan dalam keamanan dan mereka
akan menggunakan kode sisi klien.
Jadi jika itu digunakan, maka permintaan tersebut sebenarnya dimodifikasi sebelum dikirim.
Jadi akan ada filter dan hal-hal yang bekerja di sisi klien yang akan mengubah kode kita sebelum kita mengirimkannya.
Jadi cara terbaik untuk mencegat permintaan dan agar kami dapat melihat permintaan kiriman, kami akan menggunakan
proxy.
Proksi yang akan kita gunakan adalah proksi kelahiran.
Jadi bagaimana kelahiran akan bekerja adalah kami memiliki klien kami di sini dan kami memiliki server Web, seperti yang
pernah kami lihat sebelumnya, dan kami memiliki situs web email yang dimuat di mesin permen kami.
Jadi ketika kita mengirim permintaan, alih-alih mengirimkannya langsung ke browser Web, kita sebenarnya akan mengonfigurasi
browser kita untuk mengirim permintaan ke berp.
Jadi ini adalah proxy kami yang berjalan di sini.
Berp akan melihat semua parameter yang sedang diposting ke website.
Jadi kita akan melihat permintaan posting untuk mendapatkan permintaan dan kita akan melihatnya.
Bagaimanapun, kode klien telah diterapkan.
Jadi beberapa situs web menerapkan kode Clydeside, seperti yang saya katakan pada permintaan sebelum mereka mengirimkannya.
Jadi kita akan dapat melihat permintaan setelah kode situs klien diterapkan.
Ini sangat penting karena banyak situs web menggunakan pemfilteran sebagai sisi klien dan kemudian kami
akan dapat melewati semua filter ini dengan mencegat permintaan.
Kemudian setelah kami mengubah permintaan di berp, kami akan meneruskannya ke situs web.
Situs web akan menjalankannya dan mengembalikannya kepada kami.
Semua ini akan menjadi lebih jelas di kuliah berikutnya karena kami menggunakan proksi berp dalam praktiknya untuk mencegat
dan memodifikasi permintaan.