我正在为客户测试基于 SAP 的 Web 应用程序。我们通常做的一项检查是分析持有会话令牌的 cookie，以确保它足够随机并且您无法预测下一个有效令牌。我们使用 Burp 序列器来做到这一点。这一次我注意到 cookie 的开头似乎有大量的静态数据。我对其进行了 Base64 解码，发现前 130 个字符（文本）包含用户名、客户代码和日期/时间。我相信这是 SAP 的一个已知“功能”。
我在报告中难以解释的是解码器的结果如何与音序器匹配。例如 - 在 cookie 中的明文中，静态数据应从位置 0 开始并在字符 130 处结束 - 但这与序列器中字符分析中看到的值不对应 - 总共显示的字符数也不对应到 cookie 中的实际字符数。我可以看到音序器中的静态部分，甚至是时间部分变化的熵峰值，我只是无法关联字符位置。此外，当我查看定序器中的位分析时，这些值似乎是颠倒的，因此在序列开始时看不到静态值 - 我可以在结尾看到它。

我希望有人可以向我解释我所看到的，非常感谢您的帮助。