PyJFuzz ist ein kleines, erweiterbares und sofort einsatzbereites Framework zum Fuzzing von JSON-Eingaben, wie z.B. mobile REST-API-Endpoints, JSON-Implementierungen, Browser, CLI-Anwendungen und vieles mehr.

Installation

Abhängigkeiten

Damit PyJFuzz funktioniert, benötigt es einige Abhängigkeiten: bottle, netifaces, GitPython und gramfuzz. Diese können über die automatische setup.py-Installation installiert werden.

Installation

Sie können PyJFuzz mit folgendem Befehl installieren:

git clone https://github.com/mseclab/PyJFuzz.git && cd PyJFuzz && sudo python setup.py install

Dokumentation und Beispiele

CLI-Tool

Nach der Installation erstellt PyJFuzz sowohl eine Python-Bibliothek als auch ein Befehlszeilenprogramm namens pjf (siehe Screenshot unten)

Bibliothek

PyJFuzz kann auch als Bibliothek arbeiten. Sie können sie wie folgt in Ihr Projekt importieren:

from pyjfuzz.lib import *

Klassen

Die verfügbaren Objekte/Klassen sind die folgenden:

• PJFServer - Wird verwendet, um integrierte HTTP- und HTTPS-Server zu starten und zu stoppen
• PJFProcessMonitor - Überwacht Prozessabstürze und startet den Prozess bei jedem Absturz automatisch neu.
• PJFTestcaseServer - Der Testfall-Server wird in Verbindung mit PJFProcessMonitor verwendet. Bei einem Prozessabsturz registriert und speichert der Testfall-Server das JSON, das den Absturz verursacht hat.
• PJFFactory - Es ist das Hauptobjekt, das für das eigentliche Fuzzing von JSON-Objekten verwendet wird.
• PJFConfiguration - Es ist die Konfigurationsdatei für jedes der verfügbaren Objekte.
• PJFExternalFuzzer - Wird von PJFactory verwendet, ist eine Hilfsklasse, die eine Schnittstelle zu anderen Befehlszeilen-Fuzzern wie radamsa bietet.
• PJFMutation - Wird von PJFFactory verwendet und stellt alle Mutationen bereit, die während der Fuzzing-Sitzung verwendet werden.
• PJFExecutor - Bietet eine Schnittstelle zur Interaktion mit externen Prozessen.

Beispiele

Im Folgenden finden Sie einige triviale Beispiele für die Implementierung eines PyJFuzz-gestützten Programms.

simple_fuzzer.py

from argparse import Namespace
from pyjfuzz.lib import *

config = PJFConfiguration(Namespace(json={"test": ["1", 2, True]}, nologo=True, level=6))
fuzzer = PJFFactory(config)
while True:
    print fuzzer.fuzzed

custom_techniques.py

from argparse import Namespace
from pyjfuzz.lib import *

# Techniques may be defined by group , or by technique number
# groups are CHTPRSX , to understand what they are , please run pyjfuzz with -h switch or look at the command line screenshot
# This below will initalizate a config object which use only the P group attacks where P stay for Path Traversal
config = PJFConfiguration(Namespace(json={"test": ["1", 2, True]}, nologo=True, level=6, techniques="P"))
# once a config object is defined you can access to config.techniques to view the selected techniques for your group
print("Techniques IDs: {0}".format(str(config.techniques)))
# you can eventually modify them!
config.techniques = [2]
# This way only attack number 2 (LFI Attack) will be performed!
fuzzer = PJFFactory(config)
while True:
    print fuzzer.fuzzed

simple_server.py

from argparse import Namespace
from pyjfuzz.lib import *

config = PJFConfiguration(Namespace(json={"test": ["1", 2, True]}, nologo=True, level=6, debug=True, indent=True))
PJFServer(config).run()

Manchmal müssen Sie standardmäßige, nicht anpassbare Einstellungen wie HTTPS- oder HTTP-Server-Port ändern. Dies kann auf folgende Weise erfolgen:

from argparse import Namespace
from pyjfuzz.lib import *

config = PJFConfiguration(Namespace(json={"test": ["1", 2, True]}, nologo=True, level=6, indent=True))
print config.ports["servers"]["HTTP_PORT"]   # 8080
print config.ports["servers"]["HTTPS_PORT"]  # 8443
print config.ports["servers"]["TCASE_PORT"]  # 8888
config.ports["servers"]["HTTPS_PORT"] = 443  # Change HTTPS port to 443

Denken Sie daran: Beim Ändern der Standard-Ports sollten Sie immer Ausnahmen behandeln, da Berechtigungen erforderlich sind!

Nachfolgend finden Sie eine umfassende Liste aller verfügbaren Einstellungen/Anpassungen des PJFConfiguration-Objekts:

Konfigurationstabelle

Techniken-Tabelle

Screenshots

Im Folgenden finden Sie einige Screenshots, die zeigen, was Sie von PyJFuzz erwarten können.

Integriertes Werkzeug

PyJFuzz wird mit einem integrierten Werkzeug namens PyJFuzz Web Fuzzer ausgeliefert. Dieses Werkzeug bietet eine automatische Fuzzing-Konsole über HTTP- und HTTPS-Server und kann verwendet werden, um fast jeden Webbrowser einfach zu fuzzen, selbst wenn Sie den Prozesszustand nicht kontrollieren können!

Es gibt zwei Schalter, um dieses Werkzeug zu starten (--browser-auto und --fuzz-web). Der erste führt einen automatischen Browser-Neustart durch, wenn ein Absturz auftritt, der andere versucht zu erkennen, wann ein Browser keine Anfragen mehr stellt. Beide speichern immer die Testfälle. Nachfolgend einige Screenshots.

Problem

Bitte senden Sie Probleme hier über GitHub, ich werde so schnell wie möglich einen Fix bereitstellen.

Ergebnisse

Nachfolgend eine Liste bekannter, von PyJFuzz gefundener Probleme. Die Liste wird wöchentlich aktualisiert.

• Double free in cJSON (https://github.com/DaveGamble/cJSON/issues/105)
• Unhandled exception in picojson (https://github.com/kazuho/picojson/issues/94)
• Memory leak in simpleJSON (https://github.com/nbsdx/SimpleJSON/issues/8)
• Stack base buffer overflow in frozen (https://github.com/cesanta/frozen/issues/14)
• Memory corruption with custom EIP (https://github.com/cesanta/frozen/issues/15)

Ende

Vielen Dank, dass Sie PyJFuzz verwenden!

Happy Fuzzing von mseclab