burpsuite小技巧，实现Fuzz测试

最新推荐文章于 2024-02-10 21:53:19 发布
最新推荐文章于 2024-02-10 21:53:19 发布
阅读量5.7k 收藏 10
点赞数 3
分类专栏： 测试理论 文章标签： http 安全 网络协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_44894271/article/details/122209619
版权
本文介绍了如何利用burpsuite进行Fuzz测试，通过拦截HTTP请求，修改fuzz测试值，添加参数，并运行测试来查找系统漏洞。以文件上传为例，详细讲解了每个步骤，包括启动代理，参数化请求，添加payload并启动攻击，观察响应结果。
摘要由CSDN通过智能技术生成

前言

Fuzz testing是生成大量数据并且对系统产生大量异常请求，通过大量恶意请求查找漏洞。在这个过程中我们可以依赖于部分工具来实现参数化，本文以burpsuite为工具以文件上传为例

拦截请求

启动burpsuite并且开启代理后请求一次文件上传，进入BurpSuite → Proxy →HTTP history,右键点击刚才的请求选择Send to Intruder
在这里插入图片描述

修改fuzz测试值

进入Intruder→Positions,可以看到请求参数中有"§"符号包裹的内容，被包裹的内容就是需要被参数替换的内容。
在这里插入图片描述
我们通过增加删除“§”符号来更改自己需要参数化的参数，此处修改文件结尾符
在这里插入图片描述

添加参数

Intruder→Payloads→Payloads Options→Add,添加我们需要的变更的参数
在这里插入图片描述

运行测试结果

选择右上角start attack启动运行，选择ok
在这里插入图片描述
我们可以看到修改参数后的请求发送出去，可以通过查看response报文来看在接口响应是否符合预期结果

最低0.47元/天 解锁文章
奇怪的测试
关注
专栏目录
网络逻辑漏洞、SQLMAP、Nmap、burpsuite及其命令的使用方法
weixin_65695770的博客
04-07 4314
SQLMAP sqlmap是一种开源的渗透测试工具，可以自动检测和利用SQL注入漏洞以及接入该数据库的服务器。它拥有非常强大的检测引擎、具有多种特性的渗透测试神器、通过数据库指纹提取访问底层文件系统并通过外带连接执行命令。 支持的数据库：MySQL，Oracle, PostgreSQL, SQL Server, Microsoft Microsoft Access, IBM DB2, SQLite, Firebird, Sybase and SAP MAXDB。 sqlmap支持五种不同的注入模
Burp Suite 中的 Fuzzing 测试：探索漏洞的强大工具 
最新发布
m0_57836225的博客
09-24 706
同时，在进行 Fuzzing 测试时，必须遵守法律法规，获得合法的授权，并谨慎选择 payload，以确保测试的安全性和有效性。其中，Fuzzing（模糊测试）是一种非常有效的漏洞发现技术，可以通过向目标系统发送大量的随机或半随机数据来触发潜在的漏洞。它的基本原理是通过不断尝试各种不同的输入，观察目标系统的反应，寻找可能导致系统异常、崩溃或泄露敏感信息的输入模式。1. 发现未知漏洞：Fuzzing 测试可以发现那些在传统测试中难以发现的漏洞，因为它可以生成大量的随机输入，覆盖更多的可能情况。
BurpSuite Fuzz
weixin_46104215的博客
10-18 441
转载：利用 Burpsuite Fuzz 实现 SQL 注入_凡宇-CSDN博客
paramFuzzer:一款高效的参数fuzz工具|A faster param fuzzing test tool
04-14
paramFuzzer 一款高效的参数fuzz工具|A faster param fuzzing test tool 二分法暴力的Fuzz参数，本地测试23000+的字典1秒内跑完。 同等条件下，效率上肯定比其他工具快就对了. -u参数，-m参数是必须的，-p和-v分别是指定参数字典以及参数值，可有可无。 options: java -jar paramFuzzer.jar -h TODO LIST： 读取数据包。任意位置FUZZ。 识别中间件，再次加快FUZZ效率。
利用 Burpsuite Fuzz 实现 SQL 注入
凡宇
07-18 1万+
0x01 注入前分析 是个典型的登录框SQL注入题 在源码上还有hint 首先进行注入前的尝试，观察是否有报错情况，或者是有waf： 正常的输入，分2种情况： 用户名正确，显示密码错误password error 用户名错误，显示无此用户no such user! 猜测验证用户名和验证密码是分步进行的，语句如下： select uname from use...
burp测试fuzz
Jang2023的博客
07-05 218
【代码】burp测试fuzz。
2-2 Burpsute Pro Fuzzing 介绍
山兔的博客
12-05 664
Fuzzing测试 实战演示 打开sqlilab靶场，选择less-1 在域名处输?id=1 打开BP，进行截断 这样子BP就有了数据包，来请求192.168.248.132，对应下的sqli-labs文件目录下的less-1的index.php，并且提交参数是id=1 那么接下来就进行Fuzzing测试，以对应的sql注入为例，进行演示，我们首先点击Action，Send into intruder 送到intruder模块 点击Positions 点击Clear § 直接选中1这个位置，Add
（28）【xss工具绕过】xss之burpsuite、前端、字典……
04-04 2406
包括代码层面、工具层面的xss绕过……
Burp Suite Pro 的使用技巧与实践
07-14
Intruder 是 Burp Suite Pro 中的一个攻击工具，用于 fuzz 测试 Web 应用程序。Intruder 中有多种 payload 类型，包括简单列表、字符替换、大小写修改等。同时，Burp Suite Pro 还提供了约 50 个内置的词列表，可以...
BurpSuite-collections:BurpSuite收集：包括不限于 Burp 文章、破解版、插件(非BApp Store)、汉化等相关教程，欢迎添砖加瓦---burpsuite-pro burpsuite-extender burpsuite cracked-version hackbar hacktools fuzzing fuzz-testing burp-plugin burp-extensions bapp-store brute-force-attacks brute-force-p
04-24
Burp-Suite-collections BurpSuite 相关收集项目，插件主要是非BApp Store（商店） 所有的破解汉化或者使用burpsuite都是在你配置好了Java...| +--- BurpSuite 代理设置的小技巧.pdf | +--- burpsuite实战指南.pdf |
burpsuite fuzz
08-25
- *1* *2* *3* [burpsuite小技巧，实现Fuzz测试](https://blog.csdn.net/weixin_44894271/article/details/122209619)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip...
Fuzz测试 - 基础
热门推荐
围城
02-15 2万+
（20210215 - 这篇文章是很久之前记录在简书的草稿箱中的，这次翻出来，就迁移过来） 2020/07/10 - 0. 引言 本文主要是阅读了文章[1]的简单总结，简单记录一下知识点，后续会安排更多的文章来具体描述。 1. Fuzz测试 在我之前的理解中，Fuzz测试就是通过构造不规则的输入，从而触发程序的某种bug；虽然也知道几款工具，但是只是停留在了解阶段。传统的漏洞挖掘包括三种方法：白盒代码审计，灰盒逆向工程，黑盒测试，Fuzz测试属于其中的黑盒测试。现在有了人工智能及深度学习的帮助，能够借助更多
burpsuite 文件包含 文件读取FUZZ技巧
weixin_33836223的博客
03-30 1145
转载于:https://blog.51cto.com/0x007/1626518
请求参数与请求头FUZZ(参考“我的Web应用安全模糊测试之路“)
weixin_50464560的博客
10-27 2321
参考# 大佬的文章 我的Web应用安全模糊测试之路 WebFuzzing方法和漏洞案例总结 实战笔记之服务端逻辑重构漏洞 大佬的字典 fuzzDicts 前言# 加一个参数就是一个洞。在挖洞的时候，我注意到一些特殊的请求参数，比如说 output、retype、callback、fun、width、height 等等，更改其中一些数值，返回包中会出现明显变化。看了大师傅们的文章，才逐渐了解到这些参数以及一些特殊的 http 头的妙用。此文作为一个笔记梳理，并自己尝试写了一个简单脚本(经测试，BUG 巨.
推荐一款字典爆破工具 -- FuzzPayloadGennerator
Python栈
06-27 1465
一款BurpSuite插件，主要是解决我日常爆破时字典的需要，收集的字典数据太多了，有时想要指定特征的爆破字典就要自己手撸， 所以就想着写个插件了，可以自己通过配置生成字典了， 未来会持续写，把日常可能使用到的都实现了，主要是太懒了。
网络攻防之——Fuzz工具
The__Apollo的博客
04-05 1万+
FUzz是一个模糊测试工具模糊测试是漏洞挖掘过程中重要的一步bed.plBed是一个纯文本协议的Fuzz工具，能够检查常见的漏洞，如缓冲区溢出，格式串漏洞，整数溢出等。Fuzz_ipv6这是THC出品的针对IPV6协议的模糊测试工具0hrwurm这是一个迷你的对RTP的fuzz工具，主要针对SIP通信的fuzzpowerfuzzer是一个有图形化界面的工具， burpsuite等web代理工具
BurpSuitePortswigger 安全学院Path Traversal路径遍历内容学习笔记与靶场通关方法（个人手工翻译补充顺序跟随Learning Path，适合复习基础、零基础初学黑客渗透）
weixin_51698245的博客
02-10 445
讲述了目录穿越漏洞的基础
Fuzz工具使用详解
qq_22132931的博客
10-15 8777
wfuzz工具使用详解
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值