PyJFuzz é um framework pequeno, extensível e pronto para uso utilizado para fuzzar entradas JSON, como endpoints REST API de dispositivos móveis, implementações JSON, navegadores, executáveis de linha de comando e muito mais.

Instalação

Dependências

Para funcionar, o PyJFuzz precisa de algumas dependências: bottle, netifaces, GitPython e gramfuzz. Você pode instalá-las através da instalação automática do setup.py.

Instalação

Você pode instalar o PyJFuzz com o seguinte comando:

git clone https://github.com/mseclab/PyJFuzz.git && cd PyJFuzz && sudo python setup.py install

Documentação e Exemplos

Ferramenta CLI

Após a instalação, o PyJFuzz criará tanto uma biblioteca Python quanto um utilitário de linha de comando chamado pjf (captura de tela abaixo)

Biblioteca

PyJFuzz também pode funcionar como uma biblioteca. Você pode importá-la em seu projeto da seguinte forma:

from pyjfuzz.lib import *

Classes

Os objetos/classes disponíveis são os seguintes:

• PJFServer - Usado para iniciar e parar servidores HTTP e HTTPS embutidos
• PJFProcessMonitor - Usado para monitorar falhas de processo; reiniciará automaticamente o processo sempre que ele falhar
• PJFTestcaseServer - O servidor de testcase é usado em conjunto com o PJFProcessMonitor; sempre que um processo falha, o servidor de testcase registra e armazena o JSON que causou a falha
• PJFFactory - É o objeto principal usado para realizar o fuzz real de objetos JSON
• PJFConfiguration - É o arquivo de configuração para cada um dos objetos disponíveis
• PJFExternalFuzzer - Usado pelo PJFactory, é uma classe auxiliar que fornece uma interface para outros fuzzers de linha de comando, como radamsa
• PJFMutation - Usado pelo PJFFactory, fornece todas as mutações usadas durante a sessão de fuzzing
• PJFExecutor - Fornece uma interface para interagir com processos externos

Exemplos

Abaixo alguns exemplos triviais de como implementar um programa alimentado pelo PyJFuzz:

simple_fuzzer.py

from argparse import Namespace
from pyjfuzz.lib import *

config = PJFConfiguration(Namespace(json={"test": ["1", 2, True]}, nologo=True, level=6))
fuzzer = PJFFactory(config)
while True:
    print fuzzer.fuzzed

custom_techniques.py

from argparse import Namespace
from pyjfuzz.lib import *

# Techniques may be defined by group , or by technique number
# groups are CHTPRSX , to understand what they are , please run pyjfuzz with -h switch or look at the command line screenshot
# This below will initalizate a config object which use only the P group attacks where P stay for Path Traversal
config = PJFConfiguration(Namespace(json={"test": ["1", 2, True]}, nologo=True, level=6, techniques="P"))
# once a config object is defined you can access to config.techniques to view the selected techniques for your group
print("Techniques IDs: {0}".format(str(config.techniques)))
# you can eventually modify them!
config.techniques = [2]
# This way only attack number 2 (LFI Attack) will be performed!
fuzzer = PJFFactory(config)
while True:
    print fuzzer.fuzzed

simple_server.py

from argparse import Namespace
from pyjfuzz.lib import *

config = PJFConfiguration(Namespace(json={"test": ["1", 2, True]}, nologo=True, level=6, debug=True, indent=True))
PJFServer(config).run()

Às vezes você pode precisar modificar configurações padrão não personalizáveis, como a porta do servidor HTTPS ou HTTP. Isso pode ser feito da seguinte maneira:

from argparse import Namespace
from pyjfuzz.lib import *

config = PJFConfiguration(Namespace(json={"test": ["1", 2, True]}, nologo=True, level=6, indent=True))
print config.ports["servers"]["HTTP_PORT"]   # 8080
print config.ports["servers"]["HTTPS_PORT"]  # 8443
print config.ports["servers"]["TCASE_PORT"]  # 8888
config.ports["servers"]["HTTPS_PORT"] = 443  # Change HTTPS port to 443

Lembre-se: Ao alterar as portas padrão, você deve sempre tratar exceções devido aos privilégios necessários!

Abaixo uma lista abrangente de todas as configurações/personalizações disponíveis do objeto PJFConfiguration:

Tabela de configuração

Tabela de técnicas

Capturas de tela

Abaixo algumas capturas de tela para que você saiba o que esperar do PyJFuzz:

Ferramenta embutida

O PyJFuzz é fornecido com uma ferramenta embutida chamada PyJFuzz Web Fuzzer. Esta ferramenta fornecerá um console de fuzzing automático via servidor HTTP e HTTPS, podendo ser usada para fuzzar facilmente quase qualquer navegador web, mesmo quando você não pode controlar o estado do processo!

Existem duas opções usadas para iniciar esta ferramenta (--browser-auto e --fuzz-web). A primeira realiza o reinício automático do navegador quando ocorre uma falha; a outra tenta capturar quando um navegador não faz mais requisições. Ambas sempre salvam os testcases. Abaixo algumas capturas de tela.

Problemas

Por favor, envie qualquer problema aqui via GitHub. Fornecerei uma correção o mais rápido possível.

Resultado

Abaixo uma lista de problemas conhecidos encontrados pelo PyJFuzz. A lista será atualizada semanalmente.

• Double free in cJSON (https://github.com/DaveGamble/cJSON/issues/105)
• Unhandled exception in picojson (https://github.com/kazuho/picojson/issues/94)
• Memory leak in simpleJSON (https://github.com/nbsdx/SimpleJSON/issues/8)
• Stack base buffer overflow in frozen (https://github.com/cesanta/frozen/issues/14)
• Memory corruption with custom EIP (https://github.com/cesanta/frozen/issues/15)

Fim

Obrigado por usar PyJFuzz!

Feliz Fuzzing do mseclab