Bypass Fuzzer

الأصلي 403fuzzer.py :)

==ملاحظة: تم إهمال هذا لصالح إضافة burp الجديدة اللامعة الأفضل بنسبة 1000000%. شكرًا لاستخدامكم أدواتي!==

يمكنك العثور على الإضافة هنا: https://github.com/intrudir/BypassFuzzer-Burp

اختبار نقاط النهاية 401/403 لاكتشاف التجاوزات

قم بإجراء فحوصات متنوعة عبر الرؤوس (headers) وتطبيع المسار والأفعال (verbs) وغيرها لمحاولة تجاوز قوائم التحكم بالوصول (ACL) أو التحقق من صحة URL.

• إخراج رموز الاستجابة وطول كل طلب، بطريقة منظمة وملونة لتكون قابلة للقراءة.
• مرشح "ذكي" يسمح لك بكتم الاستجابات المتشابهة بعد عدد معين من المرات.
• تغذيته بطلبات HTTP خام من Burp.

إذا ساعدتك هذه الأداة في الحصول على مكافأة أو ترغب فقط في شراء بيرة لي:

تابعني على تويتر! @intrudir

Linux & Mac OS

# clone the repo (or download it as a zip!) then navigate to the directory
git clone https://github.com/NetSPI/BypassFuzzer.git
cd BypassFuzzer

# it is best practice to create a new virtual env. 
python3 -m venv .venv

# activate the venv
source .venv/bin/activate

# install dependencies
python3 -m pip install -r requirements.txt

Windows

# clone the repo (or download it as a zip!) then navigate to the directory
# if you download the .zip, remember to extract it first
cd BypassFuzzer-main\

# it is best practice to create a new virtual env. 
py -m venv .venv

# activate the venv
.venv\Scripts\activate

# install dependencies
# you need to use 'python' cmd in order to use the interpreter from this environment.
python -m pip install -r .\requirements.txt

بالنسبة لنظام Windows، لاستخدام البرنامج النصي، تأكد من استخدام الأمر python. هذا يضمن أنك تستخدم البيئة الافتراضية.

الاستخدام

انظر قائمة المساعدة

bypassfuzzer.py -h

تحديد طلب

أفضل طريقة: تغذيته بطلب HTTP خام من Burp!

ما عليك سوى لصق الطلب في ملف وتشغيل البرنامج النصي!

• سيقوم بتحليل واستخدام cookies و headers من الطلب.
• أسهل طريقة للمصادقة على طلباتك

python3 bypassfuzzer.py -r request.txt

استخدام الأعلام (flags)

تحديد عنوان URL

python3 bypassfuzzer.py -u http://example.com/test1/test2/test3/forbidden.html

تحديد ملفات تعريف الارتباط (cookies) لاستخدامها في الطلبات:
بعض الأمثلة:

--cookies "cookie1=blah"
-c "cookie1=blah; cookie2=blah"

تحديد الطريقة/الفعل وبيانات الجسم لإرسالها

bypassfuzzer.py -u https://example.com/forbidden -m POST -d "param1=blah&param2=blah2"
bypassfuzzer.py -u https://example.com/forbidden -m PUT -d "param1=blah&param2=blah2"

تحديد رؤوس مخصصة لاستخدامها مع كل طلب ربما تحتاج إلى إضافة نوع من رأس المصادقة مثل Authorization: bearer <token>

حدد -H "header: value" لكل رأس إضافي ترغب في إضافته:

bypassfuzzer.py -u https://example.com/forbidden -H "Some-Header: blah" -H "Authorization: Bearer 1234567"

ميزة المرشح الذكي!

بناءً على رمز الاستجابة وطوله. إذا رأى استجابة 8 مرات أو أكثر فسيكتمها تلقائيًا.

يمكن تغيير عدد التكرارات في الكود حتى أضيف خيارًا لتحديده في العلم (flag)

ملاحظة: لا يمكن استخدامه في وقت واحد مع -hc أو -hl (حتى الآن)

# toggle smart filter on
bypassfuzzer.py -u https://example.com/forbidden --smart

تحديد وكيل (proxy) لاستخدامه

مفيد إذا كنت تريد الوكيل عبر Burp

bypassfuzzer.py -u https://example.com/forbidden --proxy http://127.0.0.1:8080

تخطي إرسال أنواع حمولات محددة

# skip sending header payloads
bypassfuzzer.py -u https://example.com/forbidden -sh
# or --skip-headers

# Skip sending path normailization payloads
bypassfuzzer.py -u https://example.com/forbidden -su
# or --skip-urls

إخفاء رمز/طول الاستجابة

قدم قوائم مفصولة بفواصل بدون مسافات. أمثلة:

# Hide response codes
bypassfuzzer.py -u https://example.com/forbidden -hc 403,404,400  

# Hide response lengths of 638
bypassfuzzer.py -u https://example.com/forbidden -hl 638  

عرض زوج الطلب/الاستجابة الذي أعاد 200 OK

يتم حفظ كل زوج طلب/استجابة ناجح (200 OK) في قاعدة بيانات sqlite.
تتضمن كل حمولة رقم فهرس لسهولة الاستعلام.

بمجرد انتهاء الهجوم، افحص نتائجك وحدد الفهرس أو الحمولة للبيانات التي ترغب في رؤيتها.
يجب استخدام كلا العلمين التاليين:

• --display-by index or payload
• --display-interactions index number or payload string in quotes

# display by index number
bypassfuzzer.py --display-by index --display-interactions 49

# display by payload
bypassfuzzer.py --display-by payload --display-interactions "/%2e%2fAJAX/index.php"

النتيجة:

للبساطة، في كل مرة تشغل فيها الأداة، يتم إنشاء قاعدة بيانات جديدة. يمكنك الاستعلام عن قاعدة بيانات محددة عبر العلم --idb.

ملاحظة:

• يجب أن تكون قاعدة البيانات داخل مجلد interactions لتكون قابلة للاستخدام.
• إذا لم يتم تحديد قاعدة بيانات عبر --idb، سيتم استخدام الأحدث افتراضيًا.

bypassfuzzer.py --display-by index --display-interactions 49 --idb interactions_20240729_145149.db

التحقق من إرجاع الاتصال OOB / Blind SSRF

قدم العلم --oob مع نطاق المتعاون (collaborator) أو ISH تحتاج إلى التحقق من إرجاع الاتصال بنفسك حيث لا توجد لدي حاليًا طريقة للقيام بذلك نيابة عنك.

--oob abc123.oastify.com

المهام المتبقية

• إضافة دعم HTTP/2
• أبحث عن أفكار. راسلني على تويتر! @intrudir