Mass-Assigner - HTTP 요청에서 JSON 필드를 수정하여 대량 할당 취약점을 탐지하는 간단한 도구
4개월 전 오전 8시 30분 FaradaySEC 후원 게시물 다중 사용자 침투 테스트 환경 Zion 3R |Mass Assigner는 웹 애플리케이션의 대량 할당 취약점을 식별하고 이용하도록 설계된 강력한 도구입니다 . 먼저 사용자 프로필 데이터 가져오기와 같은 지정된 요청에서 데이터를 검색합니다. 그런 다음 응답에서 추출된 각 매개변수를 한 번에 하나의 매개변수 씩 제공된 두 번째 요청에 체계적으로 적용하려고 시도합니다 . 이 접근 방식을 사용하면 잠재적인 대량 할당 취약점을 자동으로 테스트하고 악용할 수 있습니다 .
이 도구는 서버 측 데이터를 적극적으로 수정합니다. 사용하기 전에 적절한 승인을 받았는지 확인하십시오 . 이 도구를 사용하는 무단 또는 불법 활동에 따른 위험은 전적으로 귀하의 책임입니다.
- 요청에 사용자 정의 헤더를 추가하도록 허용
- 소스 및 대상 요청에 대한 다양한 HTTP 메소드의 사용자 정의 제공
- 요청 임계값을 효과적으로 관리하기 위해 속도 제한을 지원합니다.
- 실행 중에 도구가 무시할 "무시된 인수"를 지정하는 옵션을 제공합니다.
- 응답에서 JSON 데이터 내의 중첩 배열/객체에 대한 지원이 향상되었습니다.
- "application/x-www-form-urlencoded"와 같은 다른 콘텐츠 유형 지원
pip3 install -r 요구 사항.txt<br>
실행 스크립트
python3 Mass_signer.py --fetch-from "<a href=" http://example.com/path-to-fetch-data " rel="nofollow" > http://example.com/path-to-fetch-data </a>" --target-req "<a href=" http://example.com/path-to-probe-the-data " rel="nofollow"> http://example.com/path-to-probe-the-data </a>"<br>
Forbidden Buster는 다음 인수를 허용합니다:
-h, --help 이 도움말 메시지를 표시하고 종료<br> --fetch-from FETCH_FROM<br> 데이터를 가져올 URL<br> --target-req TARGET_REQ<br> URL 수정된 데이터를 <br>으로 보냅니다. -H HEADER, --header HEADER<br> 형식: '키: 값'<br> -p PROXY, --proxy PROXY<br> 사용 프록시, 사용법 예: <a href=" http://127.0.0.1:8080/ " rel="nofollow"> http://127.0.0.1:8080 </a>.<br> -d DATA, -- data DATA 요청 본문에 데이터를 추가합니다. JSON은 이스케이프 처리를 지원합니다.<br> --rate-limit RATE_LIMIT<br> 초당 요청 수<br> --source-method SOURCE_METHOD<br> 초기 요청의 HTTP 메소드입니다.<br> --target-method TARGET_METHOD<br> 수정된 요청의 HTTP 메소드입니다.<br> --ignore-params IGNORE_PARAMS<br> 수정 중에 무시할 매개변수이며 쉼표로 구분됩니다.<br>
사용 예:
python3 Mass_signer.py --fetch-from "<a href=" http://example.com/api/v1/me " rel="nofollow"> http://example.com/api/v1/me </a>" --target-req "<a href=" http ://example.com/api/v1/me " rel="nofollow"> http://example.com/api/v1/me </a>" --header "승인: Bearer XXX" --proxy " <a href=" http://proxy.example.com/ " rel="nofollow"> http://proxy.example.com </a>" --data '{\"param1\": \"test\", \" param2\":true}'<br><br>
대량 할당자 다운로드