正文

Burp Suite插件专为文件上传漏洞检测设计，提供自动化Fuzz测试，共300+条payload。

admin
admin V管理员 /0 评论 /6 阅读
0310
文章最后更新时间2025年03月10日，若文章内容或图片失效，请留言反馈！

工具介绍

本Burp Suite插件专为文件上传漏洞检测设计，提供自动化Fuzz测试，共300+条payload。效果如图

主要功能

🛡️ WAF绕过技术

  • 后缀变异：ASP/ASPX/PHP/JSP后缀混淆（空字节、双扩展名、特殊字符等）
  • 内容编码：MIME编码、Base64编码、RFC 2047规范绕过
  • 协议攻击：HTTP头拆分、分块传输编码、协议走私

🖥️ 系统特性利用

  • Windows特性：
    • NTFS数据流（::$DATA）
    • 保留设备名（CON, AUX）
    • 长文件名截断
  • Linux特性：
    • Apache多级扩展解析
    • 路径遍历尝试
    • 点号截断攻击

🎭 内容欺骗

  • 魔术字节注入（GIF/PNG/PDF头）
  • SVG+XSS组合攻击
  • 文件内容混淆（注释插入、编码变异）

使用指南

  1. 拦截文件上传请求

  2. 右键请求内容 → "Send to Intruder"

  3. Positions内将Content-Disposition开始，到文件内容结束的数据作为fuzz对象，如图

  1. 在Intruder的"Payloads"标签中选择：
  Payload type: Extension-generated  Select generator: upload_auto_fuzz
  1. 取消Payload encoding选择框，如图
  1. 开始攻击并分析响应

Payload分类说明

类别
样本payload
检测目标
后缀绕过
filename="test.asp;.jpg"
文件类型校验缺陷
Content-Disposition
content-Disposition: form-data
头解析大小写敏感性
魔术字节
GIF89a;<?php...
内容检测绕过
协议走私
Transfer-Encoding: chunked
WAF协议解析差异

工具获取

https://github.com/T3nk0/Upload_Auto_Fuzz

黑白之道发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！

如侵权请私聊我们删文

END


推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
ZhouSa.com-宙飒天下网