Burp Comparer

Burp Comparerは、2つのデータの比較(視覚的な"diff")を実行するシンプルなツールです。Burp Comparerの一般的な使用方法は次の通りです:

• ユーザ名列挙のための挙動を探すとき、有効または無効なユーザ名を使用してログインが失敗したレスポンスを比較して、レスポンスの微妙な違いを探します。
• ベースのレスポンスと長さが違うとても大きなレスポンスをIntruder攻撃が返したとき、すぐに異なる箇所を比較できます。
• サイトマップの比較またはProxy履歴のエントリがユーザのタイプによって違う場合、類似リクエストを比較して、アプリケーションに異なる挙動をさせる違いを見つけられます。
• 真偽条件によるブラインドSQLインジェクションバグや同様のテストするとき、インジェクションした異なる条件によるレスポンスへの影響を見つけるためにレスポンスを比較できます。

Comparerへのデータ読み込み

次の方法でComparerにデータを読み込めます:

• クリップボードから直接貼り付ける。
• ファイルから読み込む。
• Burpの任意の場所でデータを選択し、コンテキストメニューからComparerに送信を選択する。

比較の実行

読み込まれたデータの各アイテムは、同一の2つのリストに表示されます。比較を実行するには、それぞれの一覧から別のアイテムを選択し、いずれかの比較ボタンをクリックします:

• 単語比較 - この比較では、データの各アイテムを空白で区切りトークン化し、最初のアイテムを2番目のアイテムに変換するために必要なトークンレベルの変更点を見つけます。単語レベルで存在するアイテムの違い、たとえば異なるコンテンツのHTMLを比較する場合に最も便利です。
• バイト比較 - この比較では、最初のアイテムを2番目のアイテムに変換するために必要なバイトレベルの変更点を見つけます。バイトレベルで存在するアイテムの違い、たとえばHTTPリクエスト内のパラメータやcookie値の微妙な違いを比較する場合に最も便利です。

比較を開始すると、比較結果が新しいウィンドウに表示されます。ウィンドウのタイトルバーは、2つのアイテムの違い(すなわち変更点)の総数を示します。2つの主要なパネルには比較したアイテムが、最初のアイテムから2番目のアイテムに変換するために必要な変更、削除、追加がそれぞれ色付けされて表示されます。

テキストまたは16進数形式で各アイテムを表示できます。表示を同期オプションを選択すると2つのパネルが同時にスクロールするので、多くの状況で気になる変更点を素早く特定できます。