El ataque Pitchfork en el Intruder de Burp Suite es similar a tener múltiples ataques Sniper a la vez. Mientras que el Sniper usa un set de payloads para testear todas las posiciones de forma simultánea, Pitchfork utiliza un set de payloads por posición (hasta un máximo de 20) e itera a través de ellos a la vez.
Para entender Pitchfork vamos a revisar un ejemplo de fuerza bruta,pero esta vez con dos diccionarios.
- El primer diccionario contiene nombres de usuario:
joel,harrietyalex. - El segundo diccionario contiene contraseñas:
J03l,Emma1815ySk1ll.
Podemos usar estos dos diccionarios para realizar un ataque en el formulario de login. Las peticiones ahora se mostrarán así:
| Numero de Petición | Cuerpo de la Petición |
|---|---|
| 1 | username=joel&password=J03l |
| 2 | username=harriet&password=Emma1815 |
| 3 | username=alex&password=Sk1ll |
| Como se puede observar, el ataque de tipo Pitchfork coge un ítem de cada set de payloads y lo sustituye en la posición correspondiente. |
CAUTION
Pitchfork deja de probar combinaciones cuando una de las dos listas se acaba.