(1)使用常用调试参数名称(调试、测试、隐藏、来源等)和常用值(真、是、开通和1等)列表,向一个已知的应用程序页面和功能提出大量请求。重复执行这一操作,直到浏览完所有名/值对组合。在POST请求的URL查询字符串和消息主体中插入增加的参数。
可以使用多组有效载荷和“集束炸弹”(cluster bomb)攻击类型(请参阅第14章了解详细信息),通过Burp Intruder执行这一测试。
(2)监控收到的全部响应,确定任何表明增加的参数给应用程序处理过程造成影响的异常。
(3)根据可用时间,在许多不同的页面或功能中查找隐藏的参数。选择开发人员最有可能在其中执行调试逻辑的功能,如登录、搜索、文件上传和下载等。