什麼是WEB模糊測試
Web瀏覽器最初只是被設計爲瀏覽Web頁以及解析HTML頁,現在Web瀏覽器已經發展成爲和瑞士軍刀的多功能性相等價的計算機設備。現代的Web瀏覽器可以處理動態HTML頁、類型表單、多種腳本語言、Javaapplet、在線共享內容的一種簡易方式(RSS)以及FTP連接等多種目標。可以進行許多擴展以及插件的安裝,以將Web瀏覽器轉換爲一個更加靈活的應用程序。這種靈活性允許象Google這樣的公司再次將一些通用的桌面應用程序轉向Web應用。但對於終端用戶來說不幸的是,在增加功能的同時也增加了***的範圍。毋庸置疑,隨着越來越多的功能被增加到Web瀏覽器中,將會有越來越多的漏洞被發現。
我經常發現的一個分母是期望值比期望的還要大"
--GeorgeW.Bush,LosAngeles,2000年9月27日
客戶端漏洞很快的成爲了關注的焦點,因爲它們被***者廣泛的利用以進行釣魚式***、身份的竊取並且創建大量的被惡意代碼感染並控制的與Internet相連的計算機網絡(botnets)。Web瀏覽器中的漏洞爲這樣的***提供了豐富的目標環境,因爲在主流瀏覽器中的一個漏洞將導致數百萬人受其影響。客戶端***通常要求運用某種形式的社會科學,因爲***者必須首先要強制一個潛在的被***者去訪問一個惡意的Web頁。通常可以通過垃圾郵件或利用在主流Web站點中的一個額外漏洞來幫助實施該過程。再加上Internet上的單個用戶通常具有很少的計算機安全方面的知識,因此許多***者將關注的重點轉向客戶端漏洞也就不足爲奇了。
在許多方面,瀏覽器錯誤成爲最引人注目的漏洞是在2006年。所發現的漏洞影響了所有主流的Web瀏覽器,包括微軟InternetExplorer和MozillaFirefox。缺陷在解析病態的HTML標籤、JavaScript、本地圖像文件如JPG,GIF和PNG、CSS以及ActiveX控件時被發現。許多被發現的嚴重的ActiveX漏洞既影響了微軟Windows操作系統的默認安裝,也影響了第三方的應用程序。另外,還發現了成百個不嚴重的ActiveX漏洞。儘管安全研究者在過去對ActiveX和COM的審覈表現出了一定的興趣,但在2006年這一興趣達到了最高程度。存在於大量ActiveX控件中的漏洞的一個重要因素是新的、用戶友好的ActiveX控件審覈工具的公共可用性。在本章中,我們將討論如何使用模糊測試來發現Web瀏覽器漏洞。如果將歷史結論作爲指導的話,那麼還將有大量的瀏覽器錯誤被發現。
我們可以看到掃描的過程產生的信息
打開treeview我們回憶樹狀的形態見到掃描到的路徑信息
對於掃描到的信息,我們發現太多了,那麼可以對信息導出形成一個專門的文件,以便我們的查看
還可以使用vi編輯器來產看掃描的結果
powerfuzzer工具是一款操作比較簡易的站點安全檢測工具,只需要在URL出輸入目標的域名即可,如果有選擇使用代理的可以使用該工具自帶的代理功能。
在掃描的過程中產生的進程信息
產看掃描的報告結果