تحليل الرموز
تستقبل صفحة محلل تسلسل الرموز (تحليل الرموز) عينات رموز ملصقة، وتلخص تفردها وأطوالها والصيغ التي يمكن التعرف عليها وتوزيع المحارف.
تقديم عينة
- افتح الأدوات المساعدة > تحليل الرموز.
- الصق عدة رموز في منطقة الإدخال، رمزا واحدا في كل سطر. أدرج عينات مولدة بصورة مستقلة تكفي لفحص التفاوت، وليس نسخا مكررة من الرمز نفسه.
- انقر تحليل.
اجمع العينات بتكرار العملية التي تولد الرمز (تسجيل الدخول مرارا، أو طلب رموز CSRF جديدة، أو توليد مفاتيح API من الواجهة) والتقاط القيم من الاستجابات.
مخرجات التحليل
درجة الإنتروبيا
تحسب الصفحة إنتروبيا شانون من تكرار المحارف داخل كل رمز، وتعرض المتوسط والحد الأدنى والحد الأقصى وقيمة كل رمز. لا تمثل هذه القيمة القوة التشفيرية الإجمالية للرمز أو لمولده. لا تقارن الدرجة المعروضة بمتطلبات قوة المفاتيح البالغة 64 بت أو 128 بت.
اكتشاف الأنماط
يتعرف كاشف الصيغ على القيم الشبيهة برموز JWT ومعرفات UUID والأطوال الست عشرية الشائعة والسلاسل الشبيهة بـ Base64url والقيم الرقمية. يصف التعرف شكل القيمة؛ ولا يتحقق من توقيع JWT أو يحدد الخوارزمية التي ولدت رمزا ست عشريا. ويفحص تسلسل الطلبات المنفصل أيضا المتتاليات الحسابية البسيطة في العينات المجمعة.
توزيع المحارف
تعرض خريطة حرارية لتكرار المحارف توزيع محارف ASCII القابلة للطباعة في العينة. قد يكشف التوزيع غير المتوازن عن بنية ما، لكن التوزيع المتوازن لا يثبت عدم قابلية التنبؤ.
تفسير النتائج
راجع القياسات المعروضة إلى جانب دورة حياة الرموز في التطبيق وترميزها وطريقة توليدها. أمثلة على أمور تستحق التحقيق اليدوي:
- يعني النمط التسلسلي أن مهاجما يمتلك رمزا صالحا واحدا يستطيع تعداد الرموز المجاورة.
- تعني بادئة الطابع الزمني أن نطاق البحث عن الرمز ينحصر في نافذة زمنية ضيقة.
- يعني انخفاض تنوع المحارف أن فضاء المفاتيح الفعلي أصغر بكثير مما يوحي به طول الرمز.
حالات الاستخدام
- رموز الجلسات: تحقق من القيم المكررة ومجموعات المحارف الصغيرة على نحو غير متوقع.
- رموز CSRF: قارن عينات مستقلة قبل اختبار التحقق من صحتها بشكل منفصل.
- مفاتيح API: افحص الصيغة والتفاوت؛ وتحقق من قوة التوليد بصورة منفصلة.
- رموز إعادة تعيين كلمة المرور: يتيح رمز إعادة تعيين قابل للتنبؤ الاستيلاء على الحساب دون أي تفاعل من الضحية.
- رموز الدعوة والمعرفات الرقمية: اختبر ما إذا كانت الرموز القصيرة أو المعرفات ذات الزيادة التلقائية مكشوفة في سياق ذي أهمية أمنية.