11/16/2017 www.sniferl4bs.com/2015/07/burpsuite-vii-match-and-replace.

html

Snifer@L4b's: BurpSuite
VII - Match and Replace,
Modicaciones HTML,
Encoding and decoding
Snifer L4bs

Que tal, retomamos la serie de entradas de BurpSuite

y esta oportunidad veremos algunas opciones
adicionales de BurpSuite las cuales nos serviran al
realizar algunas pruebas, no se olviden que dos dias
estuvimos sin postear en el blog por lo tanto hoy los
recuperaremos ;).

Match and Replace

Modicaciones HTML
Encoding and Decoding

Esta opcin de Match and replace nos permite

realizar de manera automatica modicaciones
cuando encuentra una relacion con lo que indicamos
por ejemplo si deseamos que realize una
modicacion del user agent, que este viene por
defecto con la expresion regular para realizar dicha
observacin, esto lo use recientemente para validar
el comportamiento de una pagina web en

http://www.sniferl4bs.com/2015/07/burpsuite-vii-match-and-replace.html 1/7
11/16/2017 www.sniferl4bs.com/2015/07/burpsuite-vii-match-and-replace.html

dispositivos mviles de manera directa con burpsuite

para ello tenemos dicha opcin en Proxy, Options en
la parte inferior el Match and Replace.

Se ve en la captura que tenemos 3 opciones marcadas

que tiene en el campo match una expresiones
regular, que cuando encuentre User Agent realize el
cambio por otro, en la parte nal tenemos
elcomentariode lo quehace no se olviden que es
posible agregar otros agentes ahora veremos un
ejemplo del cambio del Header de
maneraautomticapara elloseleccionamos o
habilitamos el agente que deseemos que se
reemplace por ejemplo yo lo har con Android.

http://www.sniferl4bs.com/2015/07/burpsuite-vii-match-and-replace.html 2/7
11/16/2017 www.sniferl4bs.com/2015/07/burpsuite-vii-match-and-replace.html

Una vez marcado nos dirigimos al sitio que estemos

probando haciendo la intercepcin valga la
redundancia de lo que digo, vremos que el user
agent fue cambiao de manera automtica como
vemos a continuacin.

El user agent sin modicacin.

Una opcin que puede ser usada de muchas

manerassegnel caso del sitio,como sabemos cada
uno se comporta de manera diferente.

Modicaciones HTML
http://www.sniferl4bs.com/2015/07/burpsuite-vii-match-and-replace.html 3/7
11/16/2017 www.sniferl4bs.com/2015/07/burpsuite-vii-match-and-replace.html

Esta opciones o bondad como decida cada uno llamar

de BurpSuite permite realizar modicaciones
automticas decdigoHTML,JavaScript si lo leen
bienrealiza de manera automatica modicaciones
que nosotros le indiquemos, esto nos permite
identicar si las validaciones son realizadas solo en
el lado del cliente, y no en el servidor que muchas
veces me tope con este tipo de desarrollos y nunca
esta de ms ver si se mantienen ;).

Esta opcin se encuentra en las opciones del Proxy

igual que el match and replace, exactamente en la
parte superior del mismo.

Encoding and Decoding

Inmerso en la herramienta se encuentran estas dos

opciones que al nal llega a ser una sola la cual nos
permite realizar desde la misma herramienta
operaciones de cifrado y decifrado como ser pasarlo a
base64, Octal, Binario, Hexadecimal, Asciisegnla
necesidad delo que necesitemos.

http://www.sniferl4bs.com/2015/07/burpsuite-vii-match-and-replace.html 4/7
11/16/2017 www.sniferl4bs.com/2015/07/burpsuite-vii-match-and-replace.html

En este ejemplo hacemos uso de que convierta en

Base64 del termino SniferL4bs Burpsuite,
recordarles que muchas veces "cifrado de
contraseas" para algunos es meterle en base64 y en
muchas oportunidades nos servira esta opcin

ENCODE

DECODE

Generacin de Hash

http://www.sniferl4bs.com/2015/07/burpsuite-vii-match-and-replace.html 5/7
11/16/2017 www.sniferl4bs.com/2015/07/burpsuite-vii-match-and-replace.html

Vemos que estas 3 nuevas opciones que vemos de

BurpSuite son bastante interesantes que permiten
automatizar algunas tareas o realizar algunos
ataques todo en base a nuestra imaginacin.

Entradas anteriores de la serie.

BurpSuite - La pequea navaja Alemana

BurpSuite I - Primeros Pasos
BurpSuite II - Intercepted, Tampering request!
conociendo al proxy
Burpsuite III - Sitemap, Crawling, Vulnerability
Scanning
BurpSuite IV -Conguracin de Certicado digital,
ProxyTOR?, guardando y recuperando

BurpSuite V -Engagement Tools

BurpSuite VI - Burp Suite Pro Real life tips and tricks

Nos vemos en la siguiente entrada!.

Regards

Snifer

http://www.sniferl4bs.com/2015/07/burpsuite-vii-match-and-replace.html 6/7
11/16/2017 www.sniferl4bs.com/2015/07/burpsuite-vii-match-and-replace.html

http://www.sniferl4bs.com/2015/07/burpsuite-vii-match-and-replace.html 7/7