Packer Fuzzer

Una herramienta de escaneo para la detección rápida y eficiente de seguridad en sitios web construidos con herramientas de empaquetado front-end como Webpack

Producido por Poc-Sir, KpLi0rn, Liucy, RachesseHS, Lupin-III

Haga clic aquí para la versión en inglés

👮🏻‍♀️ Descargo de responsabilidad

Cualquier consecuencia directa o indirecta y pérdida causada por la difusión o el uso de las funciones de detección proporcionadas por la herramienta Packer Fuzzer (en adelante, "esta herramienta") será responsabilidad exclusiva del usuario. El equipo de desarrollo de Packer Fuzzer (en adelante, "este equipo") no asume ninguna responsabilidad por ello.

Esta herramienta generará automáticamente un informe de resultados de escaneo basado en los resultados de detección del usuario. El contenido de este informe y otros derivados no representan la posición o el punto de vista de este equipo.

Al utilizar esta herramienta, siga las leyes y regulaciones locales del país donde se encuentre el usuario y el sistema objetivo. No se permiten pruebas no autorizadas bajo ninguna circunstancia. Si se producen infracciones relevantes, nos reservamos el derecho de emprender acciones legales en su contra y cooperaremos plenamente con las autoridades correspondientes en las investigaciones.

🏝 ¿Qué es esto?

Con la popularidad de las herramientas de empaquetado front-end WEB, en sus pruebas de penetración diarias y servicios de seguridad, ¿se encuentra cada vez más con sitios web representados por el "Webpack Bundler"? Este tipo de empaquetador agrupa todas las API y los parámetros de API de todo el sitio para su invocación centralizada por parte de la web, lo que también nos facilita la rápida identificación de las funciones y el inventario de API del sitio. Sin embargo, la cantidad de archivos JS generados por estos empaquetadores suele ser extremadamente grande y el volumen total de código JS es enorme (hasta decenas de miles de líneas), lo que dificulta enormemente las pruebas manuales. Es por ello que surge la herramienta Packer Fuzzer.

Esta herramienta admite la extracción difusa automática de las API correspondientes del sitio objetivo y el contenido de los parámetros de las API, y es compatible con la detección rápida y eficiente de siete vulnerabilidades: acceso no autorizado, filtración de información sensible, CORS, inyección SQL, escalada horizontal de privilegios, contraseñas débiles y carga arbitraria de archivos. Una vez finalizado el escaneo, la herramienta genera automáticamente un informe de escaneo. Puede elegir una versión HTML para un análisis más sencillo, o versiones más formales como doc, pdf y txt.

Y no tiene que preocuparse por los problemas de idioma debido a la internacionalización. La herramienta incluye paquetes de idiomas de cinco idiomas principales (incluidas las plantillas de informes): chino simplificado, francés, español, inglés y japonés (ordenados por precisión de traducción), traducidos por nuestro equipo muy no profesional.

Nota: Actualmente, la primera versión de la herramienta solo está optimizada para las reglas del empaquetador Webpack. Las reglas para otros empaquetadores estarán disponibles próximamente.

🎸 Entorno de instalación

1. Esta herramienta está desarrollada en Python3. Antes de ejecutarla, asegúrese de tener instalados Python3.X y pip3. Si no tiene el entorno instalado, puede seguir la siguiente guía: https://www.runoob.com/python3/python3-install.html

   Los usuarios de MacOS pueden usar el siguiente comando para una instalación rápida:

   root@kitploit:~

   brew install python3 # pip3 se instalará automáticamente
   

   Los usuarios de Ubuntu pueden usar el siguiente comando para una instalación rápida:

   root@kitploit:~

   sudo apt-get install -y python3 && sudo apt install -y python3-pip
   

   Los usuarios de CentOS pueden usar el siguiente comando para una instalación rápida:

   root@kitploit:~

   sudo yum -y install epel-release && sudo yum install python3 && yum install -y python3-setuptools && easy_install pip
   

2. Esta herramienta ejecutará código NodeJS nativo a través de node_vm2, por lo que recomendamos instalar el entorno NodeJS (no se recomiendan otros entornos de ejecución JS, ya que podrían causar fallos de análisis). Si no tiene el entorno instalado, puede seguir la siguiente guía: https://www.runoob.com/nodejs/nodejs-install-setup.html

🦁 Descripción de parámetros

Puede ejecutar esta herramienta con el comando python3 PackerFuzzer.py [options]. Los options se describen a continuación:

• -h (--help)

  Comando de ayuda, no requiere parámetros adicionales. Muestra todos los parámetros admitidos por esta herramienta y su breve descripción.

• -u (--url)

  Ruta de la URL del sitio web a escanear. Es obligatorio. Ejemplo: -u https://demo.poc-sir.com.

• -c (--cookie)

  Contenido adicional de cookies. Opcional. Si se proporciona, se pasará globalmente. Ejemplo: -c "POC=666;SIR=233".

• -d (--head)

  Cabeceras HTTP adicionales. Opcional. Si se proporciona, se pasarán globalmente. Valor predeterminado: Cache-Control:no-cache. Ejemplo: -d "Token:3VHJ32HF0".

• -l (--lang)

  Opción de idioma. Si está vacío, selecciona automáticamente el idioma del sistema. Si no hay un paquete de idioma correspondiente, cambia automáticamente a la interfaz en inglés. Idiomas disponibles: Chino simplificado (zh), Francés (fr), Español (es), Inglés (en), Japonés (ja). Ejemplo: -l zh.

• -t (--type)

  Se divide en versión básica y versión avanzada. Si está vacío, se usa la versión básica por defecto. La versión avanzada volverá a escanear todas las API, extraerá difusamente los parámetros correspondientes y detectará: inyección SQL, escalada horizontal de privilegios, contraseñas débiles y carga arbitraria de archivos. Use la opción adv para la versión avanzada. Ejemplo: -t adv.

• -p (--proxy)

  Proxy global. Opcional. Si se proporciona, se usará una IP proxy globalmente. Ejemplo: .

🎯 Consejos de uso

• Si experimenta un bloqueo falso o el escáner se interrumpe debido a un error inesperado, no se preocupe demasiado. Puede encontrar el archivo de base de datos Sqlite con extensión .db en la carpeta de caché correspondiente dentro del directorio tmp. Al abrirlo, podrá ver que todos los resultados en tiempo real del proyecto correspondiente se guardan en esta base de datos. Puede analizar los resultados actuales del escaneo directamente a través de la base de datos de caché.
• Recomendamos personalizar baseurl para mejorar la tasa de éxito de la concatenación de API y reducir el número de solicitudes. Encontrar baseurl no es difícil: solo necesita activar cualquier API en el sitio objetivo y observar qué parte falta para encontrarlo rápidamente.
• No recomendamos utilizar el modo avanzado de esta herramienta en sitios grandes o complejos, ya que en algunos casos el modo avanzado consumirá una gran cantidad de tiempo realizando coincidencias de expresiones regulares en segundo plano, lo que podría provocar que la herramienta se congele falsamente.
• Cuando las API del sitio A están todas en el sitio B: puede usar directamente el comando --ah (--apihost) de esta herramienta para personalizar la dirección del servidor de la API.
• Si tiene problemas para crear o leer bases de datos en Windows, puede hacer clic derecho y seleccionar "Ejecutar como administrador". En Linux/Mac, preste atención a los permisos, se recomienda usar el comando sudo.

📝 Intercambio de opiniones

Puede enviar un ISSUE directamente en el repositorio de Github: https://github.com/rtcatc/Packer-Fuzzer/issues

Si cree que un objetivo específico no debe hacerse público directamente, puede enviarnos un correo electrónico: admin[at]hackinn.com

Al enviar, para facilitar nuestro juicio, adjunte el archivo de registro correspondiente del directorio logs. ¡Gracias por su cooperación!

Mientras tanto, puede escanear el código QR del grupo de chat a la izquierda para unirse a nuestro grupo de discusión de WeChat (debido a las restricciones de WeChat, este método no está disponible temporalmente), o puede escanear el código QR personal de "天下大木头(KpLi0rn)" a la derecha y mencionar "Packer Fuzzer" para que él lo agregue al grupo:

🍻 Lista de contribuyentes

 Poc Sir        KpLi0rn        Liucy        RachesseHS

👑 Registro de actualizaciones

• v1.0 2020/09/30

  1. El comienzo del universo; los que entienden, entienden.

• v1.1 2020/11/21

  1. Se solucionaron algunos problemas de compatibilidad en Windows;

  2. Se mejoraron las partes relacionadas con la omisión de verificación global de certificados;

  3. Se corrigieron varios errores que podían causar errores graves en el escáner.

• v1.2 2021/01/21

  1. Se agregó la función de identificación del empaquetador front-end y visualización del árbol de activos;

  2. Se optimizaron las reglas de extracción asíncrona y se agregaron dos nuevos tipos de reglas de identificación de API;

  3. Se corrigió un error que impedía la generación correcta de informes y bases de datos;

  4. Se agregó el modo silencioso para facilitar pruebas por lotes o integración con múltiples plataformas;

  5. Se corrigió urgentemente una vulnerabilidad que podría permitir la ejecución arbitraria de comandos.

• v1.3 2021/04/23

  1. Se corrigieron varios errores que podían causar anomalías en la detección;

  2. Se reemplazó PyExecJS por node_vm2, que es relativamente más seguro;

  3. Se optimizó la interfaz de visualización en terminal y se agregaron nuevos avisos interactivos;

  4. Se optimizó el modo de procesamiento de BaseDir para hacerlo más intuitivo.

• v1.4 2022/06/19

  1. Se corrigieron varios errores que podían causar un funcionamiento anómalo del escáner;

  2. Se eliminaron extensiones obsoletas de Python;

  3. Se optimizó el informe HTML; ahora puede mostrar la longitud del contenido de la respuesta de la API y permitir la ordenación;

  4. Se agregó un mecanismo de cambio entre solicitudes POST y GET;

  5. Se agregó la función de personalización del encabezado Content-Type;

  6. Se agregó la función de personalización del contenido de datos en solicitudes POST;

  7. Se agregó la función de personalización de la dirección del servidor de la API.