漏洞挖掘之fuzz测试

一、SRC行业安全测试规范

 [TPSA19-22]SRC行业安全测试规范 - 腾讯安全应急响应中心 (tencent.com)

二、fuzz Testing介绍

在计算机领域, Fuzz Testing (模糊测试)是一种测试方法,即构造一系列无规则的“坏”数据（“坏”数据：非正常数据）插入应用程序,判断程序是否出现异常,以发现潜在的bug。在信息安全领域,也有人尝试引入fuzz testing思想进行安全漏洞挖掘,而且效果不错。

一般涉及生成数据列表,并让程序按数据列表内容请求测试的都可以称为fuzz

我们经常用到的fuzz :

子域名暴力破解：构造子域名字典

扫描器：构造多种测试语句

目录扫描：构造目录、文件字典

登录暴力破解：构造用户名字典、密码字典

不建议使用扫描器

三、登录暴力破解

  这个漏洞是特别实用的，现在的网站弱口令是很常见的

暴力破解构造用名字典

top7000姓名拼音

汉字两字全部拼音字典（160801行）

admin/system/guest/test/public/manager(可以加域名前缀变形，如dbadmin)

收集的东西越多，自己构建的字典就月优
登录暴力破解

常见的登录暴力破解字典构建方式

企业内部系统暴力破解半小时内每个用户测试密码数量不要超过3次，避免账户锁定

在线生成密码字典

Weakpass password generator

暴破遇到验证码时可尝试方法:

验证码可重复利用

使cookie中验证码字段与post验证码相同

删除验证码参数

验证码字段提交空值

四、目录扫描

目录扫描作用:

我们在部署网站时,除了普通用户可访问文件外,还有些文件可能是系统包含但是

没有直接给出访问入口的,比如管理后台,配置文件等,这些文件可能对漏洞挖掘起

到非常重要的作用,因此我们需要借助目录扫描来发现它们。
目录扫描可发现问题:

管理后台:未授权、弱口令

网站备份文件:泄露敏感信息、白盒审计

日志文件:泄露敏感信息

目录浏览:泄露敏感信息

其他问题: WEB-INF/web.xml;文件上传程序;部分服务漏洞等
目录扫描工具:

GitHub – maurosoria/dirsearch: Web path scanner

安装git clone GitHub – maurosoria/dirsearch: Web path scanner

使用python3 dirsearch.py -u Example Domain

五、其他web漏洞挖掘中常用fuzz

fuzz站点中的参数名称atest.php?$getnickname$ =zhangsan

 https://github.com/ghOstkeyWeb-Fuzzing-Box/tree/main/Web/Parameters

fuzz站点中的参数值test.php?m= $index$

 https://github.com/TheKingOfDuck/fuzzDicts/blob/master/paramDict/vars.txt

WAF绕过

靶场测试http://192.168.31.103/sqltest.php?test param=lili

例如：空格  暴力破解  猜解哪些能够  替代空格

中华人民共和国网络安全法

第二十七条
任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动:不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具，明知他人从事危害网络安全的活动的，不得为其提供技术支持、广告推广、支付结算等帮助。

文章内容仅用于以防御为目的的教学演示请勿用于其他用途，否则后果自负
漏洞发布要求

1.不得在网络产品提供者提供网络产品安全漏洞修补措施之前发布漏洞信息
2.不得发布网络运营者在用的网络、信息系统及其设备存在安全漏洞的细节情况不得刻意夸大网络产品安全漏洞的危害和风险，
3.不得利用网络产品安全漏洞信息实施恶意炒作或者进行诈骗、敲诈勒索等违法犯罪活动
4.不得发布或者提供专门用于利用网络产品安全漏洞从事危害网络安全活动的程序和工具5. 5.在发布网络产品安全漏洞时，应当同步发布修补或者防范措施
6.在国家举办重大活动期间，未经公安部同意，不得擅自发布网络产品安全漏洞信息
7.不得将未公开的网络产品安全漏洞信息向网络产品提供者之外的境外组织或者个人提供
8.法律法规的其他相关规定

文章由极客之音整理，本文链接：https://www.bmabk.com/index.php/post/77648.html

漏洞挖掘之fuzz测试

相关推荐