AJPFuzzer - AJPv1.3 के लिए एक कमांड-लाइन फ़ज़र

AJPFuzzer Apache JServ Protocol (ajp13) के लिए एक प्रारंभिक फ़ज़र है।

libajp13 पर निर्मित, यह उपकरण आपको एक उपयोग में आसान कमांड लाइन इंटरफ़ेस का उपयोग करके AJP संदेश बनाने और भेजने की अनुमति देता है। AJPFuzzer सही ढंग से स्वरूपित AJP13 संदेश (सभी संदेश प्रकार) और साथ ही उत्परिवर्तन (जैसे बिट फ़्लिपिंग, प्रकार बेमेल वाले संदेश आदि) तैयार कर सकता है, जो वेब सर्वर AJP मॉड्यूल, J2EE कंटेनर और कई अन्य जैसी AJP-आधारित सेवाओं को लक्षित करने वाले सुरक्षा परीक्षण प्रयासों को सुविधाजनक बनाता है।

इसका उपयोग कैसे करें

1. रिलीज़ पेज से नवीनतम AJPFuzzer jar डाउनलोड करें

2. डाउनलोड की गई jar को इस प्रकार निष्पादित करें:

   root@kitploit:~

    $ java -jar ajpfuzzer_v0.7.jar
   

3. उपकरण एक शेल प्रॉम्प्ट करेगा। ?list टाइप करके, सभी उपलब्ध कमांड्स को सूचीबद्ध करना संभव है। इस बिंदु पर, आप निम्न का उपयोग करके लक्ष्य से कनेक्ट कर सकते हैं:

   root@kitploit:~

    AJPFuzzer> connect 127.0.0.1 8009
   

4. फिर, आप केवल '10' टाइप करके CPing संदेश (प्रकार 10) भेज सकते हैं (इस संदेश के लिए किसी तर्क की आवश्यकता नहीं है)

   root@kitploit:~

    AJPFuzzer/127.0.0.1:8009> 10
   

निम्नलिखित स्क्रीनशॉट पूरे निष्पादन को दर्शाता है:

जाहिर है, उपयुक्त परीक्षण मामले और तर्क निर्दिष्ट करके अधिक जटिल संदेश भेजना संभव है। किसी विशिष्ट कमांड के सभी विवरणों के लिए कृपया ?list देखें।

उदाहरण के लिए, हम निम्न का उपयोग करके पूरी तरह से अनुकूलित ForwardRequest प्रकार का संदेश भेज सकते हैं:

> forwardrequest 2 "HTTP/1.1" "/api/" 127.0.0.1 localhost porto 8009 false "Cookie:AAAA=BBBB" ""

मनमाने तत्वों को फ़ज़ करते हुए ForwardRequest संदेश भेजना भी संभव है:

> genericfuzz 2 "HTTP/1.1" "/test.html" "127.0.0.1" "127.0.0.1" "server.name.test" 8009 false "Cookie:AAAA=BBBB" "secret:FUZZ" /tmp/list.txt

उपलब्ध परीक्षण मामले और आगे अनुकूलन।

आज तक, AJPFuzzer निम्नलिखित परीक्षण मामले प्रदान करता है:

AJPTestCases.java वर्ग का विस्तार करके नए परीक्षण मामले जोड़े जा सकते हैं। @Command एनोटेशन का उपयोग करके, उपकरण अतिरिक्त कमांड को पहचानेगा और इसे CLI से उपलब्ध कराएगा।