尝试访问

http://mdsec.net/auth/502/

6.攻击3:应用程序模糊测试

除利用日志功能提取有用的信息外,当然还可以探查应用程序中是否存在常见的漏洞。为确保测试合理,攻击者应该测试所有的参数和请求,从登录请求开始。

为迅速对前面的请求进行模糊测试,必须在所有请求参数中设定有效载荷位置。只需单击 position选项卡上的auto按钮即可完成这项操作,如图14-8所示。

img464b

图14-8 配置Burp Intruder对登录请求进行模糊测试

和使用JAttack实施模糊测试攻击一样,接下来需要手动检查结果表,确定任何值得深入调查的反常现象,如图14-9所示。与前面的攻击中一样,可以单击列标题,以各种方式对响应进行分类,从而迅速确定有用的数据。

img465

图14-9 对一个请求进行模糊测试得到的结果

对测试结果进行初步分析可以得出结论,应用程序似乎易于受到SQL注入。在有效载荷位置1和2提交一个单引号后,应用程序会返回另一个响应,其消息中包含字符串quotation和syntax。这种行为明确表示,需要进行手动调查才能确定和利用其中的漏洞。