076-Web攻防-Fuzz技术篇&JS加解密插件&字典项目等

演示案例:

Fuzz 技术-用户口令-常规&模块&JS 插件

Fuzz 技术-目录文件-目录探针&文件探针

Fuzz 技术-未知参数名-文件参数&隐藏参数

Fuzz 技术-构造参数值-漏洞攻击恶意 Payload

1、Fuzz
是一种基于黑盒的自动化软件模糊测试技术,简单的说一种懒惰且暴力的技术融合了常见的以及精心构建的数据文本进行网站、软件安全性测试。

2、Fuzz的核心思想:
口令 Fuzz(弱口令)
目录 Fuzz(漏洞点)
参数 Fuzz(利用参数)
PayloadFuzz(Bypass)

在实战黑盒中，目标有很多没有显示或其他工具扫描不到的文件或目录等，我们就可以通过大量的字典 Fuzz 找到的隐藏的文件进行测试。

3、Fuzz应用场景-爆破用户口令
-爆破敏感目录
-爆破文件地址
-爆破未知参数名
-Payload 测漏洞(绕过等也可以用)

Fuzz 技术-用户口令-常规&模块&JS 插件

常规爆破

image-20250707180438471

image-20250707180531283

image-20250707180631282

md5加密

image-20250707180747820

image-20250707180814344

image-20250707180947112

image-20250707181104229

image-20250707181126123

JS插件

image-20250707181205936

image-20250707181444703

image-20250707181422812

这里后续参考前面相关JS那期

image-20250707182700342

image-20250707182836564

image-20250707182934393

image-20250707183049695

Fuzz 技术-目录文件-目录探针&文件探针

image-20250707183502045

image-20250707200731834

Fuzz 技术-未知参数名-文件参数&隐藏参数

image-20250707183650433

image-20250707183738448

image-20250707183848278

image-20250707184016660

image-20250707194906557

image-20250707194948093

image-20250707195014805

image-20250707195043477

image-20250707195408516

image-20250707195443842

image-20250707195511818

image-20250707195637929

image-20250707200341510

Fuzz 技术-构造参数值-漏洞攻击恶意 Payload

image-20250707200941278

SRC案例演示

image-20250707201103188 image-20250707201159310

image-20250707204000065

最后通过通过手机号再爆破验证码登录

Fuzz 访问 URL 挖未授权访问

image-20250707204135120

image-20250707204147014

密码组合规则信息泄漏FuZZ

image-20250707204251994

image-20250707204302007

互联网搜索到账号规律

image-20250707204405100

image-20250707204435938

image-20250707204445174

登录成功