Sequencer 分析你的 Session Cookie 与 Token 规律性

Sequencer这项功能是针对随机的参数，
譬如说像是Session cookie或是Token进行分析，
分析其是否有规律性或是可预测的可能性。

是一个．．．很统计学的功能XD
老实说我很少使用这个功能，跟它很不熟。
我不常用的原因是这样的，我个人的想法是这样...
目前遇到的网站如果是具有(或是看似具有)变化性或随机性的参数或Token，
大概会分成的两种：
第一种是使用Framework或是第三方套件所产生的，
这种可预测性基本上都是没办法预测，随机乱度够高。
第二种就是开发人员自己写，
这种里面比较有可能可以用Sequencer找出一些有趣的点，
当然更多发现的漏洞，其实是更简单的值，
连Sequencer这个功能都不需要就可以预测猜测出来。

不管如何～还是得介绍一下这项功能，
话不多说直接来进行实作，
因为找不到合适的范例，这边就先用DVWA的凑合着用一下。

我们先选择一个请求，点选右键送到Repeater，
接着把请求部分的session cookie移除，重送一次请求，
确认回应的部分有set-cookie之後再把这个请求送到Sequencer。

一般来说Burp在Sequencer就会自动判断好要分析的参数，
如果没有抓到，也可以手动利用Custom location右边的Configure设定，
设定好我们要分析的参数，之後就可以按Select Live Capture直接开始。

这边要注意！
分析过程会发送非常大量的请求．
所以建议不要对一般网站进行此项操作，
对自己的靶机练习就好了。

这边的分析过程，
其实就是Sequencer会不断的送出请求得到一个新的session cookie，
最後再把这一大堆session cookie做一些统计学的分析，
正因为如此，Sequencer的测试分析，是需要足够的样本数才可以有效果的。
这边我让他跑到1000个以上才按下暂停，按下Analyze now，
接下来我们就可以查看分析的结果如何。

这边的分析结果就...自己有兴趣再研究看看吧!
DVWA的这个session cookie其实乱度也是够的，所以看不出甚麽有趣的东西。
但是如果伪随机数算法比较弱的话，Session是可能会被预测的。

其实就这样简陋的带过这个功能罗XD