Préparer la capture
Burp agit comme un intermédiaire entre le navigateur et l’application. Ouvre son navigateur intégré depuis Proxy pour démarrer avec un environnement configuré. Utilise uniquement ton laboratoire. Laisse Intercept désactivé pour naviguer normalement : HTTP history conserve les échanges. Si Intercept est activé, une requête peut attendre ton action ; Forward la transmet. Une page qui semble bloquée peut donc simplement attendre dans Proxy.
Passer dans Repeater
Effectue une action simple dans l’application. Dans HTTP history, sélectionne la requête correspondante et choisis Send to Repeater. Envoie-la une première fois sans changement pour obtenir une référence. Dans Repeater, modifie ensuite un seul paramètre puis utilise Send. Compare le statut, la taille et surtout le contenu de la réponse. N’oublie pas de vérifier l’hôte et la session avant chaque essai.
Conserver une comparaison lisible
Nomme tes onglets selon l’hypothèse testée. Garde un onglet de référence intact. Si le jeton expire, recapture une requête récente au lieu de multiplier les variantes. Une différence de longueur peut venir d’une date ou d’un identifiant aléatoire ; elle n’est pas suffisante pour conclure.
Référence : GET /api/books/18 → 200, titre « Atlas »
Variante : GET /api/books/inconnu → 404, objet absent
Constat : le serveur distingue un objet présent d’un identifiant absent.Cette comparaison vérifie le traitement d’un identifiant inexistant. Elle ne démontre aucun accès à des données privées.
Vérifie que tu as compris.
3 questions pour mettre les idées en pratique. Réponds avec tes mots, puis vérifie chaque réponse.
La correction repère les notions attendues et certaines formulations proches. Elle reste indicative : lis aussi l’explication. Tes réponses restent dans cette page et ne sont pas enregistrées.