随着现在企业安全水平的提高,单独依赖常规主动扫描器AWVS、APPscan进行企业漏洞扫描越来越难挖掘有效漏洞,越权漏洞在大多数企业中比较常见,主动扫描器也难以挖掘越权等逻辑漏洞,这里给大家提供一种思路,依赖fiddler插件的方式进行针对越权的被动漏洞扫描。
老规矩,先来一波自卖自夸。
全程web界面操作,一键挖洞!
扩展性强,方便添加新的漏洞类型检测。
自定义功能检测,哪里要测点哪里。
旁路延时检测,不影响正常操作流程。
Fiddler插件:C#开发
网站前端:Vue 2.9 vue-admin-template前端框架
后端:Flask网站接口,Python完成漏洞检测
检测原理和大家手工测试越权漏洞差不多。
尝试删除cookie,对比返回包差异;
不删除cookie,尝试修改id值,对比返回包差异。
如果两次请求包对应的返回包结果有差异,则初步判定为存在越权,我们的检测工具同样分为两大块:无需cookie认证的页面访问越权和更改uid类逻辑越权,uid类越权需要用户提供原始uid、待替换的之一个uid、待替换的之一个uid,对比这三个uid返回包结果。
细心的同学可能就会发现,这里会有个问题:公共页面,新闻页面,未登录所有人都能访问的页面在这种逻辑下都会判定为越权的,这样的话误报就会很高,这里我们可以先把公共页面抓一轮包,在越权检测时排除掉这些页面。
数据采集(fiddler插件发送服务器入库)——漏洞验证(多账号比对返回包结果)——漏洞结果web展示输出
Fiddler抓包端界面:
抓包处通过Web页面获取的抓包token登录
Web扫描配置:
抓包过滤:包括域名、文件名、OPTIONS等请求 ***
注册账号——新建项目——配置抓包过滤——生成抓包token——安装fiddler插件——抓包——添加扫描规则——启动扫描。
一般情况下建议在测试环境运行漏洞检测,通过指定的三个参数值验证越权,生产环境下尽量不做编辑、删除等敏感操作。
替换cookie类越权,由于不同网站token校验字段不同可能难以覆盖完全。
替换uid类越权,返回包中包含随机请求值会存在误报,目前返回包中带时间戳参数、uid本身值都已替换成固定值,减少误报。
当前已提供请求响应包分割参数功能,后续可以结合总体数据包检测是否可以二次越权。
工具联动:作为fiddler插件,可以和Burpsuite、Awvs、APPscan等扫描联动使用,比如Awvs开启仅扫描模式配置fiddler的 *** 端口,APPscan *** 扫描APP,Burpsuite重放修改数据包,甚至自己写脚本proxy设置成fiddler端口,这里只是提供思路,大佬们可以自由发挥。
XSS: 目前是简单的替换参数值的payload 字典,根据回包中包含关键词。
敏感信息检测:返回包中包含手机号、银行卡、身份证。
关键词监控:检测返回包中包含的指定字段,config/config.py中配置。
数据包分割:分割请求响应包参数
示例web网站:http://192.119.93.234:6453/,仅供参考,务压,项目源码
Github项目
https://github.com/wdsjxh/fiddler_tools
码云项目
https://gitee.com/wdsjxh/fiddler_tools
本项目仅供技术交流,请勿用于商业及非法用途,如产生法律纠纷与本人无关。
最后祝大家学业顺利,事业有成!
如何秘密定位别人的手机?未经对方同意,微信将对不会被发现的软件进行定位。这篇文章是一个反向的微信二进制文件,实现伪装定位,查看附近人的教程,手把手教你玩微信!学习之后,很容易反转微信的其他功能。在练习...
本文导读目录: 1、谁知道这部电影? 2、有什么好看的电影,战争科幻动画的 3、求些好看的动画电影。 4、求美漫里浩克世界大战的剧情,越详细越好 5、有什么好看的战争动画片? 6、...
微博新浪随着我们越来越依赖手机,微信逐渐取代了短信或电话,成为我们的一样平常社交应用。若是你替换手机或不小心删除对话框,对话框就全是空的!那么iPhone的密友若何备份谈天纪录呢?请听编辑的详细信息。...
每一个漂亮女人的背后,都有一个日她日的想吐的男子。 9月15日微博平安中国新闻:《白鹿原》导演,48岁的王全安因涉嫌maiyin嫖娼被警方拘留审查, 王全安的妻子–张雨绮出演《白鹿原》的女一号,算...
卓师兄恢复微信聊天记录是骗子吗?微信,是一个生活方式,超过十亿人使用的手机应用。误删微信聊天记录或者微信好友等数据,已是见惯不怪的事情,但往往大家没有备份缺乏保护数据意识,二次破坏数据,造成无法恢...
购墓免费上门接送提前预约我园电话024-88618116--024-88618119--13066556662沈阳墓园办事处免费咨询,为您提供全面的帮助与服务。如果您又任何问题,请拨打办事处电话,专业...