Burpsuite - Macro de token CSRF

Implementé un sitio web usando vaadin-framework . Cuando envío una solicitud a mi servidor, hay algunos datos en mi POST-Request que parecen:

  

{"csrfToken":"3df2f528-15c7-434c-8505-539be1c44157","rpc":[["13","v","v",["text",["s","Nazar Medeiros"]]],["13","v","v",["c",["i",4]]],["15","com.vaadin.shared.ui.button.ButtonServerRpc","click",[{"altKey":false,"button":"LEFT","clientX":82,"clientY":286,"ctrlKey":false,"metaKey":false,"relativeX":45,"relativeY":18,"shiftKey":false,"type":1}]]],"syncId":3,"clientId":3}

Ahora, la parte interesante para mí son tres parámetros:

  

Nazar Medeiros , "syncId":3 y "clientId":3" .

El contenido (Respuesta) que recibo del servidor se ve así:

  

for(;;);[{"syncId": 4, "clientId": 4, "changes" : [["change",{"pid":"13"},["1",{"id":"13"}]]], "state":{"13":{"text":"Nazar Medeiros"}}, "types":{"13":"1","25":"19","26":"21","6":"20"}, "hierarchy":{"25":[],"26":[],"6":["7","10","11","12","25","26"]}, "rpc" : [["25","com.vaadin.shared.data.DataProviderRpc","resetDataAndSize",[0]],["25","com.vaadin.shared.data.DataProviderRpc","setRowData",[0,[]]]], "meta" : {}, "resources" : {}, "timings":[3306, 1]}]

Quiero usar burp suite y un macro para un proceso de engaño automático. Cuando uso otro valor en lugar de Nazar Medeiros , tengo que aumentar clientId y syncId en 1 para cada solicitud.

Lo que he hecho hasta ahora, es configurar un macro con los dos parámetros. Pero el problema es que usar la macro no me da el resultado que quiero.

  

for(;;);[{"syncId": 26, "resynchronize": true, "clientId:4"...

El syncId se incrementa en 2 en lugar de 1, mientras que el clientId permanece en el mismo valor.

Una solución que utilicé (sin macros) fue enviar los tres parámetros al Intruder , configurar la opción de carga útil a Pitchfork y dar a cada uno de ellos una carga útil. La carga útil para syncId y clientId es la misma y contiene números para aumentar los valores en cada solicitud. Para utilizar este enfoque, debe asegurarse de que clientId y syncId comienzan en 0 (actualice la página). De lo contrario, los números no se ajustan a las solicitudes.

Me encantaría que alguien me diera una mejor solución. Atentamente, Nazar Medeiros