Веб-фаззинг с самого начала. Учимся перебирать каталоги и искать скрытые файлы на сайтах

Fuzzing — авто­мати­чес­кий метод тес­тирова­ния, ког­да при­ложе­нию на вход пода­ются слу­чай­ные или недопус­тимые дан­ные. Коман­да OWASP, объ­ясняя фаз­зинг, пред­лага­ет рас­смот­реть игру, в которой поль­зовате­лю зада­ется воп­рос и пре­дос­тавле­ны три вари­анта отве­та: 1, 2 или 3. Но что, если в ответ отпра­вить 5? Или 255? Может быть, вооб­ще не чис­ло, а сим­вол? Это клас­сичес­кий метод фаз­зинга.

В вебе хакеры фаз­зят, что­бы най­ти чувс­тви­тель­ные час­ти при­ложе­ния: пап­ку с уяз­вимой админкой, дамп базы дан­ных или авто­копию кон­фига. Фаз­зинг на вебе — это перечис­ление по заранее сос­тавлен­ным сло­варям.

Тул­за для фаз­зинга пос­троч­но про­ходит сло­варь, отправ­ляя зна­чения как часть зап­роса. Про­цесс мож­но пред­ста­вить в виде диало­га меж­ду кли­ентом и сер­вером:

— Есть файл passwords.txt?
— Нет.
— Может, password.txt?
— Тоже нет.
— Может, wp-config.php.bac?
— А это есть, дер­жи содер­жимое...

Те­перь у тебя в руках кре­ды от базы дан­ных и про­чее, что лежало в забытом фай­лике.

По сути, про­цесс боль­ше похож на под­бор паролей по сло­варю, чем на реаль­ный фаз­зинг, но, раз уж такое наз­вание при­жилось, будем исполь­зовать его.

Словари

Сло­вари — это заранее сос­тавлен­ные спис­ки вари­антов. Быва­ют сло­вари обще­го наз­начения вро­де спис­ка инте­рес­ных дирек­торий и имен фай­лов. При­мер сло­варя:

Этот сло­варь ори­енти­рован на поиск чувс­тви­тель­ных фай­лов. Если мы вдруг най­дем https://site.com/.gitignore, есть шанс, что внут­ри оты­щут­ся пути к дру­гим инте­рес­ным фай­лам.

Мно­гие наз­вания из спис­ка име­ют мало шан­сов зас­ветить­ся в сети. Тот же .env обыч­но зак­рыт пра­вила­ми веб‑сер­вера, а .bash_history поч­ти никог­да не попада­ет в пап­ку веб‑сер­вера.

Но отли­читель­ная чер­та фаз­зинга как раз в том, что про­веря­ются даже самые ред­кие вари­анты. Мы ведь хотим знать, что админ слу­чай­но оста­вил свой .bash_history в общем дос­тупе? Зна­чит, не помеша­ет про­верить!

Су­щес­тву­ют сло­вари, сос­тавлен­ные спе­циаль­но для опре­делен­ных задач. При­мер пер­вых строк из спис­ка пла­гинов WordPress:

Ес­ли мы тес­тиру­ем сайт на WordPress, то можем обра­щать­ся к таким адре­сам, исполь­зуя этот спи­сок:

Так мы опре­делим, какие пла­гины уста­нов­лены на сай­те, и если оты­щут­ся уяз­вимые вер­сии, то смо­жем поис­кать готовые экс­пло­иты для них или соз­дать самос­тоятель­но по опи­сани­ям уяз­вимос­тей.

Есть целые биб­лиоте­ки сло­варей вро­де популяр­ного SecLists (он пре­дус­танов­лен на Kali) и FuzzDB. В наборах фай­лы обыч­но раз­биты по катего­риям. Я буду исполь­зовать SecLists, пап­ку Discovery. В этой пап­ке лежит все необ­ходимое для сбо­ра дан­ных о веб‑при­ложе­нии: сло­вари для DNS-фаз­зинга, боль­шие спис­ки имен фай­лов и папок, перечис­ления API и спе­цифи­чес­кие име­на для раз­ных CMS.

Ус­танови оба набора на свою машину и покопай­ся в пап­ках, раз­берись, какие сло­вари есть внут­ри.