Estoy auditando un sitio web creado con Google Web Toolkit. Utiliza la versión de serialización 7, por lo que las herramientas de GDS Security no funcionarán (solo funcionan hasta la versión 5). Usando esta técnica, obtuve todas las clases, pero no puedo desenfocar los métodos:
Identifiqué un par de solicitudes de clientes RPC que se pueden usar para probar la inyección SQL. En realidad, son legibles por humanos, por lo que puedo identificar los campos que se envían y son adecuados para manipular e insertar cargas útiles. Algo como:
POST /mywebapp/auth HTTP/1.1
..
Content-Type: text/x-gwt-rpc; charset=UTF-8
..
7|0|http://192.168.1.1:8888/mywebapp/ ....D031DD0CECD85E06AF1E383A0.gwt.authservice. java.method..|variable1|1|2|3|2...
Quiero ser amable y usar solo algunas cargas útiles específicas para intentar obtener información sobre la base de datos que se ejecuta en el servidor.
Mi pregunta sería, antes de comenzar a probar estas cargas útiles, ¿necesito codificarlas de una manera específica para que se analicen correctamente en el servidor? ¿O no hay una manera de saber esto y tengo que probar diferentes tipos de codificaciones?
Estoy usando un intruso de Burpsuite para hacer el trabajo, pero estoy abierto a otras herramientas si son capaces de hacer lo que necesito.