Mass Assigner

Mass Assigner는 웹 애플리케이션에서 대량 할당(Mass Assignment) 취약점을 식별하고 악용하기 위해 설계된 강력한 도구입니다. 먼저 지정된 요청(예: 사용자 프로필 데이터 가져오기)에서 데이터를 검색합니다. 그런 다음 응답에서 추출된 각 매개변수를 제공된 두 번째 요청에 한 번에 하나씩 체계적으로 적용하려고 시도합니다. 이 접근 방식을 통해 잠재적인 대량 할당 취약점을 자동으로 테스트하고 악용할 수 있습니다.

⚠️ 면책 조항

이 도구는 서버 측 데이터를 적극적으로 수정합니다. 사용 전에 적절한 권한이 있는지 확인하십시오. 이 도구를 사용한 무단 또는 불법 활동은 전적으로 사용자 본인의 책임입니다.

🪄 기능

요청에 사용자 정의 헤더 추가 가능
원본 및 대상 요청 모두에 다양한 HTTP 메서드 사용자 정의 제공
요청 임계값을 효과적으로 관리하기 위한 속도 제한 지원
실행 중 도구가 무시할 "무시 매개변수" 지정 옵션 제공
응답의 JSON 데이터 내 중첩 배열/객체 지원 개선

🔮 향후 계획

"application/x-www-form-urlencoded"와 같은 추가 콘텐츠 유형 지원

설치 및 사용법

필요 패키지 설치

pip3 install -r requirements.txt

스크립트 실행

python3 mass_assigner.py --fetch-from "http://example.com/path-to-fetch-data" --target-req "http://example.com/path-to-probe-the-data"

인수

Forbidden Buster는 다음 인수를 허용합니다:

  -h, --help            show this help message and exit
  --fetch-from FETCH_FROM
                        URL to fetch data from
  --target-req TARGET_REQ
                        URL to send modified data to
  -H HEADER, --header HEADER
                        Add a custom header. Format: 'Key: Value'
  -p PROXY, --proxy PROXY
                        Use Proxy, Usage i.e: http://127.0.0.1:8080.
  -d DATA, --data DATA  Add data to the request body. JSON is supported with escaping.
  --rate-limit RATE_LIMIT
                        Number of requests per second
  --source-method SOURCE_METHOD
                        HTTP method for the initial request. Default is GET.
  --target-method TARGET_METHOD
                        HTTP method for the modified request. Default is PUT.
  --ignore-params IGNORE_PARAMS
                        Parameters to ignore during modification, separated by comma.

사용 예시:

python3 mass_assigner.py --fetch-from "http://example.com/api/v1/me" --target-req "http://example.com/api/v1/me" --header "Authorization: Bearer XXX" --proxy "http://proxy.example.com" --data '{\"param1\": \"test\", \"param2\":true}'

Mass-Assigner

인기