Web fuzzing tehnike: savladavanje Ffuf i ZAP
Uvod
Web fuzzing je tehnika testiranja softvera crne kutije gdje se automatizirani podaci šalju do cilja kako bi se pronašli odgovori koji odgovaraju određenim kriterijima. Cilj je da se identifikuju deformisani ili jedinstveni odgovori koji mogu ukazivati na ranjivosti. Fuzzing vam može pomoći da brzo pronađete greške koristeći sistematski i automatizirani pristup.
FFUF: Alat za brzo spajanje weba
Šta je FFUF?
FFUF (Fuzz Faster U Fool) je brzi alat za fuzziranje weba napisan u programskom jeziku Go. Veoma je efikasan i može se instalirati na macOS, Linux i bilo koji uređaj sa Go kompajlerom.
Instaliranje FFUF-a:
– Na Linuxu: `sudo apt install ffuf`
– Na macOS-u: koristite Go kompajler za instalaciju.
Direktorij Brute Force sa FFUF-om:
Gruba sila direktorija uključuje otkrivanje direktorija na web stranici testiranjem liste uobičajenih imena direktorija. Web stranice često imaju direktorije poput `/about-us`, `/login` i `/contact`. Koristeći listu riječi uobičajenih direktorija, FFUF ih može automatski testirati i vratiti rezultate.
Primjer naredbe:
Sh ffuf -u http://ffuf.me/CD/basic/FUZZ -w /path/to/wordlist.txt
OWASP ZAP: Web proxy i skener
Šta je OWASP ZAP?
OWASP ZAP (Zed Attack Proxy) je sigurnosni skener web aplikacija otvorenog koda. Koristi se za različite zadatke testiranja web aplikacija, uključujući fuzzing.
Korištenje ZAP-a za Web Fuzzing:
- Postaviti:
– Pokrenite ZAP i pokrenite pretraživač preko ZAP-a.
– Idite na `http://demo.testfire.net`, demo stranicu za testiranje sigurnosti.
- Zahtjevi za presretanje:
– Izvršite pokušaj prijave sa poznatim vjerodajnicama (npr. korisničko ime: `admin`, lozinka: `12345`).
– ZAP hvata zahtjev i omogućava vam da ga pregledate.
- Konfiguriranje Fuzinga:
– Označite polje lozinke u presretnutom zahtjevu i kliknite desnim tasterom miša da odaberete “Fuzz”.
– Učitajte korisni teret (listu riječi) za fuzzing, kao što je `john.txt` za uobičajene lozinke.
- Početak napada:
– Pokrenite fuzzer, koji pokušava svaku lozinku sa liste i ispituje odgovore.
- Analiziranje rezultata:
– Sortirajte odgovore prema statusnim kodovima, vremenu odgovora ili veličinama zaglavlja da biste pronašli anomalije.
– Identifikujte ispravnu lozinku upoređujući obrasce odgovora.
Primjer scenarija:
– Sajt: `http://demo.testfire.net`
– Korisničko ime: `admin`
– Lista riječi lozinke: `john.txt`
– Očekivani kod odgovora: `200` za uspješnu prijavu, `404` za nije pronađeno.
zaključak
Web fuzzing with alat kao što su FFUF i OWASP ZAP može značajno poboljšati vaše testiranje penetracije i napori za nagradu za bube. Automatizacijom procesa slanja podataka i analizom odgovora možete brzo identificirati potencijalne ranjivosti i poboljšati sigurnost web aplikacija.
Važna razmatranja:
– Etika i zakonitost: testirajte samo web stranice s izričitom dozvolom.
– Efikasnost: Koristite relevantne liste riječi i prilagodite postavke za efikasnije fuzzing.
Ovi alati pružaju moćne mogućnosti za otkrivanje ranjivosti, a uz odgovornu upotrebu, mogu vam pomoći da efikasno zaštitite web aplikacije.
Dalje učenje:
– Pogledajte [FFUF dokumentaciju](https://github.com/ffuf/ffuf) za napredniju upotrebu.
– Istražite [OWASP ZAP korisnički vodič](https://www.zaproxy.org/) za dodatne funkcije i tehnike.
