工具介绍
本Burp Suite插件专为文件上传漏洞检测设计，提供自动化Fuzz测试，共300+条payload。效果如图
主要功能
🛡️ WAF绕过技术
-
后缀变异：ASP/ASPX/PHP/JSP后缀混淆（空字节、双扩展名、特殊字符等） -
内容编码：MIME编码、Base64编码、RFC 2047规范绕过 -
协议攻击：HTTP头拆分、分块传输编码、协议走私
🖥️ 系统特性利用
-
Windows特性： -
NTFS数据流（::$DATA） -
保留设备名（CON, AUX） -
长文件名截断
-
-
Linux特性： -
Apache多级扩展解析 -
路径遍历尝试 -
点号截断攻击
-
🎭 内容欺骗
-
魔术字节注入（GIF/PNG/PDF头） -
SVG+XSS组合攻击 -
文件内容混淆（注释插入、编码变异）
使用指南
-
拦截文件上传请求 -
右键请求内容 → "Send to Intruder" -
Positions内将Content-Disposition开始，到文件内容结束的数据作为fuzz对象，如图
-
在Intruder的"Payloads"标签中选择：
Payload type: Extension-generated Select generator: upload_auto_fuzz
-
取消Payload encoding选择框，如图
-
开始攻击并分析响应
Payload分类说明
|
|
|
|
|---|---|---|
|
|
filename="test.asp;.jpg" |
|
|
|
content-Disposition: form-data |
|
|
|
GIF89a;<?php... |
|
|
|
Transfer-Encoding: chunked |
|
工具获取
https://github.com/T3nk0/Upload_Auto_Fuzz/
原文始发于微信公众号（夜组安全）：Burp Suite插件专为文件上传漏洞检测设计，提供自动化Fuzz测试，共300+条payload。
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论