Shikata Ga Nai

Private? There is no such things.

Burp Suiteでコマンドインジェクションをためしてみた

Hello there, ('ω')ノ

 

OWASP 2017 ⇨ A1 ⇨ Command Injection ⇨ DNS Lookupを選択して。

 

f:id:ThisIsOne:20200208180544p:plain

 

まずは、動作確認を。

 

f:id:ThisIsOne:20200208180756p:plain

 

Burp Suiteでパラメータを確認して。

右クリックで『Send to Intruder』を選択して。

 

f:id:ThisIsOne:20200208181200p:plain

 

いつものように一旦、ハイライトをクリアして。

今回は、IPアドレスのあとに『|』を挿入して。

そこにペイロードを挿入する変数『x』を追加して。

 

f:id:ThisIsOne:20200208181604p:plain

 

今回は、下記からダウンロードして使用することに。https://lab.hellotreedigital.com/tareksmoubarak/SecLists/blob/d39e9c0999f266d1eba15ea3c5d8aba246658d10/Fuzzing/FUZZDB_UnixAttacks.txt

 

f:id:ThisIsOne:20200208182912p:plain

 

『Start attack』ボタンで実行して。

各攻撃ごとに結果を確認してみると。

脆弱性が見つかった。

 

f:id:ThisIsOne:20200208183241p:plain

 

Best regards, (^^ゞ