🕵️‍♂️ مروری بر ابزارهای fuzzing برای بررسی برنامه های کاربردی وب |

برنامه های کاربردی وب pentesters.

بنابراین بیاموزیم که چگونه از برخی ابزارهای شگفت انگیز برای خودکارسازی فرآیند fuzzing استفاده کنیم.

Fuzzing چگونه کار می کند؟ منجر به نتایج موفقیت‌آمیز یا عجیب می‌شود.

برخی از ابزارهای فازی از کاراکترهای تصادفی، رشته‌ها و برخی از فهرست‌های کلمات استفاده می‌کنند.

نفوذگران برنامه‌های وب عمدتاً از بهترین فهرست‌های کلمات سفارشی خود برای مبهم کردن اهداف خود استفاده می‌کنند.

انواع مختلفی وجود دارد. ابزارهای fuzzing موجود در بازار، بنابراین شما باید بر اساس نیاز خود، ابزار مورد نیاز خود را انتخاب کنید.

انواع مختلف fuzzing[19659013] Application Fuzzing: Application Fuzzing مهمترین بخش این مقاله است، این فازبندی عمدتاً بر روی برنامه های دسکتاپ، آدرس ها، فرم ها، درخواست های RPC انجام می شود. لیست‌های کلمه، رشته‌ها و کاراکترهای تصادفی برای ارسال درخواست‌ها به برنامه و منتظر پاسخ‌های آن‌ها استفاده می‌شوند. : fuzzing FileFormat نسبتاً ساده است: شما ابزار Fileformat Fuzzing را به همراه نمونه‌ای از یک فایل کاربردی قانونی ارائه می‌دهید. سپس فازر نمونه را جهش می دهد و آن را در برنامه هدف باز می کند. به محض بروز خطا برای هر نمونه، داده ها برای بررسی ذخیره می شوند. از آنجایی که یک خرابی رخ داده است، اگر بتوانید جریان اجرای آن خرابی را کنترل کنید، بدون شک مقداری کنترل خواهید داشت و احتمالاً در صورت موفقیت می‌توانید کنترل برنامه را در دست بگیرید. data: نقاط ورودی داده را به برنامه وب تعریف کنید. ، یعنی این می تواند پارامترها، دایرکتوری ها و حتی اسکریپت ها باشد.

یک فرهنگ لغت خوب انتخاب کنید: یک فهرست لغت خوب می تواند معجزه کند، دیکشنری هایی در اینترنت برای هر منظوری وجود دارد. اگر برنامه های کاربردی وب را مبهم می کنید، توصیه می کنم از دیکشنری های Seclists استفاده کنید. فهرست واژه‌ای را که می‌خواهید از Seclists انتخاب کنید و آن را آپلود کنید.

Fuzz – ابزار fuzzing را با توجه به اولویت‌های خود دانلود کنید و نقاط ورودی داده و فهرست‌های کلمات را در اختیار آن قرار دهید.

1. Ffuf

Ffuf با نام مستعار Fuzz Fast You Fool، یک ابزار متن باز نوشته شده به زبان Go، یکی از بهترین ابزارهای فازی موجود در بازار به دلیل سرعت، انعطاف پذیری و کارایی آن است.

سازگاری آن در به روز رسانی های جدید همیشه درجه یک و بیشتر توسط pentesters و جویندگان جایزه در سراسر جهان استفاده می شود.

قابلیت های بازگشتی Ffuf و تطبیق عبارت منظم یکی از پرکاربردترین ویژگی ها در بین تسترهای نفوذ اینترنت است. سیستم عامل لینوکس با دستور زیر:

git clone https://github.com/ffuf/ffuf

سی دی فوف

برو بگیر

go build

در سیستم‌عامل Mac:

brew install ffuf

brew install ffuf

6[0]9[0]90026[6][19459026 Ffuf
 دستور اصلی برای بررسی یک وب سایت با استفاده از فرهنگ لغت:
ffuf -c -w /path/of/wordlist -u http://checkinglogs.tk.s3-website-us-east-1 .amazonaws. com/FUZZ

تطبیق پاسخ
ffuf -c/wlistuck. tk.s3-website-us-east-1.amazonaws.com/FUZZ -mc 200,401,402,403
با بازگشت فعال
ffuf -c -w /path/of/wordlist -u http://checking. s3-website-us-east-1.amazonaws.com/FUZZ -recursion
برنامه های افزودنی که می خواهید
ffuf -c -w /path/of/wordlist -u http://checkinglogs. tk.s3-website -us.east1.amazonaws.com/FUZZ -e.html
2. Dirb
 Good Old Dirb یک ابزار خط فرمان است که برای انجام حملات فرهنگ لغت به سرور وب و یافتن فایل‌ها یا فهرست‌های موجود با تجزیه پاسخ‌ها استفاده می‌شود.
Dirb با مجموعه‌ای از فرهنگ‌های لغت برای سهولت استفاده از قبل بارگذاری شده است، اما شما می‌توانید همیشه از دیکشنری های خودتان برای بهترین نتیجه استفاده کنید.
 می توانید فرهنگ لغت خود را با dirb-gendict ایجاد کنید، و همچنین یک فرهنگ لغت از یک فایل HTML ورودی ایجاد کنید.
2.1 نصب Dirb
 در سیستم عامل Mac: ]wget https://downloads.sourceforge.net/project/dirb/dirb/2.22/dirb222.tar.gz
tar -xvf dirb222.tar.gz
rm dirb222.tar.gz
brew install autoconf
chmod -R 755 dirb222
سی دی dirb222
./پیکربندی
ساختن
make install
در اوبونتو:
sudo apt install dirb
2.2 استفاده از Dirb
 دستور پایه برای بررسی یک وب سایت با استفاده از فرهنگ لغت:
dirb3 http://checkinglogs.tk. us-east-1.amazonaws.com /path/of/wordlist
حالت ساکت، یعنی هیچ خروجی ناخواسته‌ای نخواهید دید:
dirb http://checkinglogs.tk.s3-website-us-east-1.amazonaws.com -S
با فعال کردن بازگشت تعاملی:
dirb http: // checkinglogs.tk.s3-website-us-east-1.amazonaws.com/ /path/of/wordlist -R
با هر پسوندی که می خواهید:
dirb http://checkinglogs.tk.s3 - website-us-east-1.amazonaws.com /path/of/wordlist -X .html
3. GoBuster
 قبلاً بررسی شده است:

👨🦳 با Gobuster


4 وب سایت ها را برای فهرست ها و فایل های جالب اسکن کنید. WFuzz
WFuzz، یک ابزار خط فرمان مبتنی بر پایتون، ابزار دیگری است که باید بدانید زیرا به طور خاص برای ارزیابی برنامه های کاربردی وب ایجاد شده است و بر اساس یک مفهوم بسیار ساده است. هر مرجع کلمه کلیدی را با مقدار بار داده شده جایگزین می‌کند.
 همچنین با افزونه‌ها همراه است، بنابراین می‌توانید از آن برای ایجاد بارگذاری، کدگذاری یا رمزگشایی متن و موارد دیگر استفاده کنید.
 همچنین می‌توانید افزونه‌های خود را ایجاد کنید و از آن‌ها همانطور که می‌خواهید استفاده کنید.
4.1 نصب WFuzz
 در سیستم‌عامل مک:
pip install wfuzz
در اوبونتو/کالی
sudo apt-get]6659067 پیپ نصب wfuzz[0] اگر پس از اجرای Wfuzz با این خطا مواجه شدید: UserWarning:Pycurl در برابر Openssl کامپایل نشده است. Wfuzz ممکن است هنگام fuzzing سایت های SSL به درستی کار نکند. برای اطلاعات بیشتر اسناد Wfuzz را بررسی کنید.»


sudo apt --purge remove python3-pycurl

sudo apt نصب libcurl4-openssl-dev libssl-dev

sudo pip3 نصب pycurl wfuzz
4.2 با استفاده از Wfuzz
 دستور اصلی برای بررسی یک وب سایت با استفاده از فرهنگ لغت با پنهان کردن 404 پاسخ.
wfuzz --hc 404 -w /path/of/wordlist http://checking. tk.s3-website-us-east-1.amazonaws.com/FUZZ
bruteforce:
wfuzz -c -z file,users.txt -z file,pass.txt - sc 200 http://www .site.com/log.asp?user=FUZZ&pass=FUZ2Z
آزمایش تغییر مسیر باز:
wfuzz -w /path/of/wordlist https://www.site.com?redirect=FUZZ

 Wfuzz یک ابزار fuzzing پیشرفته است، بنابراین اگر می‌خواهید XSS، LFI و سایر آسیب‌پذیری‌ها را با Wfuzz بیابید، همیشه می‌توانید مستندات آن را در https://wfuzz.readthedocs.io/en/latest/user/advanced.html بررسی کنید. 

 5. Dirsearch
 قبلاً پوشش داده شده بود:

👨🦳 اسکن وب‌سایت‌ها برای فهرست‌ها و فایل‌های جالب با Gobuster


 نتیجه‌گیری
 در این مقاله، 5 ابزار fuzzing مورد استفاده برای بررسی برنامه‌های web را بررسی کرده‌ایم. در این مقاله برای اعتبار سنجی برنامه های کاربردی وب بسیار مهم هستند، و من استفاده از حداقل دو ابزار را به صورت ترکیبی برای اعتبار سنجی برنامه های کاربردی وب توصیه می کنم. 19659087]¯_(ツ)_/¯ توجه: اطلاعاتی برای اهداف تحقیق، آموزش یا ممیزی. استفاده برای اهداف مزدور توسط قانون فدراسیون روسیه مجازات دارد.