BurpSuiteデコーダーの使用方法

Burp Suiteを使用していると、何らかの形式のエンコーディングを使用しているデータに出くわすことがよくあります。エンコーディングは通常、コンピュータシステムがデータを処理できるようにデータを構成するように設計されていますが、残念ながら、通常はデータを読み取ることができないか、少なくとも読みにくくなっています。データをデコードして人間が読める形式に戻すことができる場合もありますが、エンコードされたデータがすでにランダムであり、理解できる結果が得られない場合もあります。Burpには、データのデコードに役立つ「デコーダー」と呼ばれるツールが含まれているため、データの内容を確認したり、人間が読み取れるデータが含まれていないかどうかを確認できます。

データをデコードする方法

デコーダーにデータを追加するには、データを手動で入力するか、クリップボードから貼り付けるか、[ターゲット]、[プロキシ]、[侵入者]、または[リピーター]タブでデータを右クリックして、[デコーダーに送信]をクリックします。これは、リクエスト全体で実行できます。ただし、通常は、右クリックする前に強調表示して、デコードするデータのみに制限すると便利です。

デコードしたいデータを右クリックし、「デコーダーに送信」をクリックします。

Decoderでデータを取得したら、右側の[Decode as]ボタンをクリックして、使用していると思われるエンコードスキームを選択することでデータをデコードできます。すべてのオプションはどの入力でも機能しますが、印刷可能な文字が生成されない場合があります。これは通常、そのエンコーディングを使用していないか、データがランダムに生成されたことを意味します。

選択できるエンコーディングは、プレーン、URL、HTML、Base64、ASCII 16進数、16進数、8進数、バイナリ、およびGzipです。ドロップダウンボックスからこれらのいずれかを選択すると、Burpは出力を下の新しいボックスに表示します。新しいボックスには独自の同一のコントロールセットが付属しているため、出力がまだエンコードされていることがわかった場合は、デコードタイプが異なっていても、再度デコードできます。たとえば、Base64文字列をデコードして、別のBase64文字列を見つけた場合、それもデコードできます。

ヒント：多くのレベルのデコードを連鎖させることができます。1つまたは2つの段階に限定されません。

複数のレベルのエンコーディングがある場合は、データをデコードしてから、結果を再度デコードできます。

データをエンコードする方法

「エンコード」をクリックしてエンコード方法を選択することにより、デコーダーを使用して、使用可能なすべてのエンコード方法でデータをエンコードすることもできます。これは、文字列をデコードして変更してから、再エンコードして変更をWebリクエストに挿入する必要がある場合に役立ちます。

ヒント：エンコーディングは特に賢いわけではありません。たとえば、英数字は有効な文字であるため、URLにエンコードする必要はありませんが、URLエンコーダーはすべての文字をエンコードします。

「ハッシュ」をクリックしてアルゴリズムを選択することにより、文字列のハッシュを生成することもできます。ハッシュは一方向性関数であるため、これは不可能であるため、Burpはハッシュを逆にする方法を提供していません。

ヒント：Decoderでは、デコード、エンコード、ハッシュの任意の組み合わせが可能ですが、操作の順序によっては論理的に意味がありません。

デコーダーを使用して、データをエンコードまたはハッシュすることもできます。

処理方法を選択する前に文字列を強調表示することで、Decoderで文字列の一部をデコード、エンコード、またはハッシュできます。これは、異なるメソッドでエンコードされた2つの変数がある場合に役立ちます。

注：デコーダーはサブタブをサポートしていないため、一度に管理できる入力は1つだけです。プロセスの結果を失うことに問題がない限り、デコーダーにさらにデータを送信する前に、プロセスの結果をコピーするように注意してください。