PyJFuzz هو إطار عمل صغير وقابل للتوسيع وجاهز للاستخدام يُستخدم لـ اختبار إدخالات JSON، مثل REST API لنقاط النهاية المحمولة، وتطبيقات JSON، والمتصفحات، والملفات القابلة للتنفيذ عبر CLI، وغير ذلك الكثير.

التثبيت

التبعيات

لكي يعمل PyJFuzz، يحتاج إلى بعض التبعيات: bottle, netifaces, GitPython و gramfuzz، يمكنك تثبيتها من خلال التثبيت التلقائي setup.py.

التثبيت

يمكنك تثبيت PyJFuzz بالأمر التالي

git clone https://github.com/mseclab/PyJFuzz.git && cd PyJFuzz && sudo python setup.py install

التوثيق والأمثلة

أداة CLI

بمجرد التثبيت، سينشئ PyJFuzz مكتبة بايثون وأداة سطر أوامر تُسمى pjf (لقطة شاشة أدناه)

المكتبة

يمكن أن يعمل PyJFuzz أيضًا كمكتبة، يمكنك استيرادها في مشروعك كما يلي

from pyjfuzz.lib import *

الفئات

الكائنات/الفئات المتاحة هي كما يلي:

• PJFServer - تُستخدم لبدء وإيقاف خوادم HTTP و HTTPS المدمجة
• PJFProcessMonitor - تُستخدم لمراقبة تعطل العملية، وستعيد تشغيل العملية تلقائيًا في كل مرة تتعطل فيها
• PJFTestcaseServer - يُستخدم خادم حالة الاختبار مع PJFProcessMonitor، وعندما تتعطل عملية، يسجل خادم حالة الاختبار ويخزن JSON الذي تسبب في التعطل
• PJFFactory - هو الكائن الرئيسي المستخدم لتنفيذ التشويش الفعلي على كائنات JSON
• PJFConfiguration - هو ملف التكوين لكل كائن من الكائنات المتاحة
• PJFExternalFuzzer - تُستخدم بواسطة PJFFactory وهي فئة مساعدة توفر واجهة لأدوات تشويش سطر الأوامر الأخرى مثل radamsa
• PJFMutation - تُستخدم بواسطة PJFFactory لتوفير جميع الطفرات المستخدمة أثناء جلسة التشويش
• PJFExecutor - توفر واجهة للتفاعل مع العمليات الخارجية

أمثلة

فيما يلي بعض الأمثلة البسيطة حول كيفية تنفيذ برنامج يعمل بـ PyJFuzz

simple_fuzzer.py

from argparse import Namespace
from pyjfuzz.lib import *

config = PJFConfiguration(Namespace(json={"test": ["1", 2, True]}, nologo=True, level=6))
fuzzer = PJFFactory(config)
while True:
    print fuzzer.fuzzed

custom_techniques.py

from argparse import Namespace
from pyjfuzz.lib import *

# يمكن تعريف التقنيات حسب المجموعة، أو حسب رقم التقنية
# المجموعات هي CHTPRSX، لفهم ما هي، يرجى تشغيل pyjfuzz مع المفتاح -h أو الاطلاع على لقطة شاشة سطر الأوامر
# هذا أدناه سيهيئ كائن config يستخدم فقط هجمات المجموعة P حيث P تعني Path Traversal
config = PJFConfiguration(Namespace(json={"test": ["1", 2, True]}, nologo=True, level=6, techniques="P"))
# بمجرد تعريف كائن config، يمكنك الوصول إلى config.techniques لعرض التقنيات المحددة لمجموعتك
print("معرفات التقنيات: {0}".format(str(config.techniques)))
# يمكنك تعديلها في النهاية!
config.techniques = [2]
# بهذه الطريقة، سيتم تنفيذ الهجوم رقم 2 فقط (هجوم LFI)!
fuzzer = PJFFactory(config)
while True:
    print fuzzer.fuzzed

simple_server.py

from argparse import Namespace
from pyjfuzz.lib import *

config = PJFConfiguration(Namespace(json={"test": ["1", 2, True]}, nologo=True, level=6, debug=True, indent=True))
PJFServer(config).run()

قد تحتاج أحيانًا إلى تعديل الإعدادات القياسية غير القابلة للتخصيص مثل منفذ خادم HTTPS أو HTTP، يمكن القيام بذلك بالطريقة التالية

from argparse import Namespace
from pyjfuzz.lib import *

config = PJFConfiguration(Namespace(json={"test": ["1", 2, True]}, nologo=True, level=6, indent=True))
print config.ports["servers"]["HTTP_PORT"]   # 8080
print config.ports["servers"]["HTTPS_PORT"]  # 8443
print config.ports["servers"]["TCASE_PORT"]  # 8888
config.ports["servers"]["HTTPS_PORT"] = 443  # تغيير منفذ HTTPS إلى 443

تذكر: عند تغيير المنافذ الافتراضية، يجب عليك دائمًا معالجة الاستثناءات بسبب الصلاحيات المطلوبة!

فيما يلي قائمة شاملة بجميع الإعدادات/التخصيصات المتاحة لكائن PJFConfiguration:

جدول التكوين

جدول التقنيات

لقطات الشاشة

فيما يلي بعض لقطات الشاشة فقط لتوضيح ما يمكن توقعه من PyJFuzz

أداة مدمجة

يأتي PyJFuzz مزودًا بأداة مدمجة تُسمى PyJFuzz Web Fuzzer، توفر هذه الأداة وحدة تحكم تشويش تلقائية عبر خادم HTTP و HTTPS، ويمكن استخدامها لتشويش أي متصفح ويب تقريبًا بسهولة حتى عندما لا تستطيع التحكم في حالة العملية!

يوجد مفتاحان لاستخدام هذه الأداة (--browser-auto و --fuzz-web)، الأول يقوم بإعادة تشغيل المتصفح تلقائيًا عند حدوث تعطل، والآخر يحاول اكتشاف متى يتوقف المتصفح عن إرسال الطلبات. كلاهما يحفظ دائمًا حالات الاختبار، فيما يلي بعض لقطات الشاشة.

المشكلات

يرجى إرسال أي مشكلة هنا عبر GitHub وسأقوم بتوفير إصلاح في أسرع وقت ممكن.

النتائج

فيما يلي قائمة بالمشكلات المعروفة التي وجدها PyJFuzz، سيتم تحديث القائمة أسبوعيًا

• تحرير مزدوج في cJSON (https://github.com/DaveGamble/cJSON/issues/105)
• استثناء غير معالج في picojson (https://github.com/kazuho/picojson/issues/94)
• تسرب ذاكرة في simpleJSON (https://github.com/nbsdx/SimpleJSON/issues/8)
• تجاوز سعة المخزن المؤقت على المكدس في frozen (https://github.com/cesanta/frozen/issues/14)
• تلف الذاكرة مع EIP مخصص (https://github.com/cesanta/frozen/issues/15)

النهاية

شكرًا لاستخدام PyJFuzz!

تشويش سعيد من mseclab