Estoy probando una aplicación web y me encuentro con tokens anti-CSRF dentro de las formas, lo que dificulta los intentos de fuzzing al usar el intruso Burp Suite. Un token anti-CSRF aparece como csrf-token dentro de un meta campo HTML. Al enviar un formulario, el mismo token se codifica como URI y se envía como un parámetro authenticity-token dentro del cuerpo de la solicitud POST.
La aplicación termina la sesión del usuario si el token no es válido, como ocurre cuando se ejecuta Intruder, ya que el token es de un solo uso como se espera (no durante la vida de la sesión del usuario).
Aunque parece sencillo, no he podido configurar con las siguientes guías:
enlace
enlace
La selección de la solicitud y el token apropiado no parece hacer mucho, pero al probar la macro se obtiene una nueva respuesta con un nuevo csrf-token . En particular, señal de autenticidad no se actualiza entre cada solicitud y no hay evidencia de que las reglas de manejo de la sesión estén funcionando.
Apreciaría una buena guía o ayuda sobre esto, ya que no estoy seguro de lo que me estoy perdiendo en este momento.