Value Fuzzing

Custom Wordlist

Quando se trata de confundir valores de parâmetros, nem sempre podemos encontrar uma lista de palavras pré-fabricada que funcione para nós, pois cada parâmetro esperaria um certo tipo de valor.

for i in $(seq 1 1000); do echo $i >> ids.txt; done

Depois de executarmos nosso comando, devemos ter nossa lista de palavras pronta:

$ cat ids.txt

1
2
3
4
5
6
<...SNIP...>

Value Fuzzing

Nosso comando deve ser bastante semelhante ao POSTcomando que usamos para obter parâmetros, mas nossa FUZZpalavra-chave deve ser colocada onde estaria o valor do parâmetro, e usaremos a ids.txtlista de palavras que acabamos de criar, como segue:

 $ ffuf -w ids.txt:FUZZ -u http://admin.academy.htb:PORT/admin/admin.php -X POST -d 'id=FUZZ' -H 'Content-Type: application/x-www-form-urlencoded' -fs xxx


        /'___\  /'___\           /'___\
       /\ \__/ /\ \__/  __  __  /\ \__/
       \ \ ,__\\ \ ,__\/\ \/\ \ \ \ ,__\
        \ \ \_/ \ \ \_/\ \ \_\ \ \ \ \_/
         \ \_\   \ \_\  \ \____/  \ \_\
          \/_/    \/_/   \/___/    \/_/

       v1.0.2
________________________________________________

 :: Method           : POST
 :: URL              : http://admin.academy.htb:30794/admin/admin.php
 :: Header           : Content-Type: application/x-www-form-urlencoded
 :: Data             : id=FUZZ
 :: Follow redirects : false
 :: Calibration      : false
 :: Timeout          : 10
 :: Threads          : 40
 :: Matcher          : Response status: 200,204,301,302,307,401,403
 :: Filter           : Response size: xxx
________________________________________________

<...SNIP...>                      [Status: xxx, Size: xxx, Words: xxx, Lines: xxx]