搜索

[15683] 2020-08-03_AuthMatrix：一款针对Web应用和服务的认证安全检测BurpSuite工具

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-08-03_AuthMatrix：一款针对Web应用和服务的认证安全检测BurpSuite工具 A u t h M a t r i x ： 一 款 针 对 W e b 应 用 和 服 务 的 认 证 安 全 检 测 B u r p S u i t e 工 具 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 0 8 - 0 3 A u t h M a t r i x A u t h M a t r i x 是 一 款 针 对 B u r p   S u i t e 工 具 的 插 件 ， 该 工 具 可 以 帮 助 广 大 研 究 人 员 对 W e b 应 用 程 序 以 及 W e b 服 务 的 认 证 机 制 进 行 安 全 测 试 。 在 A u t h M a t r i x 的 帮 助 下 ， 测 试 人 员 可 以 将 注 意 力 放 在 特 定 应 用 的 用 户 表 、 权 限 、 角 色 和 请 求 上 面 了 ， 而 这 些 数 据 库 表 和 网 络 请 求 的 结 构 也 可 以 直 接 映 射 到 各 种 威 胁 建 模 方 法 中 常 见 的 访 问 控 制 矩 阵 。 工 具 安 装 配 置 完 成 之 后 ， 测 试 人 员 就 可 以 直 接 通 过 鼠 标 点 击 就 可 以 启 动 测 试 任 务 了 。 工 具 将 以 带 有 色 彩 高 亮 的 界 面 显 示 测 试 的 输 出 结 果 ， 并 标 注 目 标 系 统 中 存 在 的 认 证 授 权 漏 洞 。 工 具 安 装 工 具 安 装 A u t h M a t r i x 可 以 直 接 通 过 B u r p   S u i t e   B A p p   S t o r e 来 进 行 安 装 。 在 B u r p   S u i t e 中 ， 选 择 E x t e n d e r 标 签 页 ， 然 后 选 择 B A p p S t o r e ， 选 择 A u t h M a t r i x ， 然 后 点 击 安 装 即 可 。 如 果 研 究 人 员 想 要 进 行 手 动 安 装 的 话 ， 可 以 直 接 使 用 下 列 命 令 将 该 项 目 源 码 克 隆 至 本 地 ： 接 下 来 ， 打 开 B u r p   S u i t e ， 选 择 E x t e n d e r 标 签 页 ， 点 击 “ A d d ” 按 钮 ， 将 扩 展 类 型 更 改 为 P y t h o n ， 然 后 选 择 A u t h M a t r i x P y t h o n 文 件 即 可 ： 注 意 事 项 注 意 事 项 A u t h M a t r i x 的 正 常 运 行 需 要 配 置 B u r p   S u i t e 去 使 用 J y t h o n ， 具 体 配 置 方 法 请 参 考 这 篇 【 文 档 】 。 确 保 使 用 的 J y t h o n 版 本 大 于 或 等 于 v 2 . 7 . 0 ， 以 保 证 工 具 的 兼 容 性 。 工 具 使 用 工 具 使 用 在 目 标 应 用 程 序 中 创 建 拥 有 各 种 权 限 角 色 的 用 户 账 号 ， 一 般 是 U s e r 、 A d m i n 或 A n o n y m o u s 匿 名 帐 户 。 创 建 足 够 数 量 的 用 户 来 对 应 应 用 程 序 内 的 各 种 角 色 权 限 ， 然 后 通 过 勾 选 框 来 给 用 户 进 行 分 组 。 “ 单 个 用 户 ” 角 色 只 包 含 一 个 用 户 ， 你 也 可 以 删 除 组 内 用 户 。 在 R e p e a t e r 标 签 页 中 为 每 一 个 用 户 生 成 会 话 令 牌 ， 并 在 U s e r s 表 的 相 应 列 中 填 写 令 牌 。 C o o k i e 可 以 直 接 通 过 右 键 点 击 R e p e a t e r 界 面 中 的 用 户 来 进 行 发 送 。 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / S e c u r i t y I n n o v a t i o n / A u t h M a t r i x . g i t
A u t h M a t r i x 可 以 对 C o o k i e 中 的 字 符 串 数 据 进 行 智 能 解 析 ， 并 填 充 至 请 求 中 。 这 里 的 C o o k i e 域 是 可 选 项 ， 如 果 目 标 使 用 的 是 H T T P   H e a d e r ， 这 里 也 可 以 点 击 “ N e w   H e a d e r ” 按 钮 来 进 行 H e a d e r 添 加 。 在 B u r p   S u i t e 的 其 他 标 签 页 中 ， 也 可 以 右 键 点 击 来 选 择 “ 发 送 给 A u t h M a t r i x ” 。 在 A u t h M a t r i x 的 请 求 表 中 ， 可 以 通 过 勾 选 框 来 选 择 需 要 发 送 H T T P 请 求 的 认 证 选 项 。 根 据 请 求 的 响 应 行 为 来 自 定 义 响 应 正 则 式 ， 并 判 断 是 否 认 证 成 功 。 常 见 的 正 则 式 包 含 H T T P 相 应 H e a d e r ， 成 功 信 息 以 及 其 他 变 量 将 包 含 在 b o d y 中 。 点 击 工 具 下 方 的 “ R u n ” 按 钮 ， 便 可 以 直 接 批 量 发 送 请 求 ， 然 后 通 过 工 具 接 口 观 察 测 试 结 果 。 绿 色 内 容 表 示 无 漏 洞 ， 红 色 表 示 请 求 中 可 能 存 在 漏 洞 ， 蓝 色 表 示 结 果 可 能 存 在 假 阳 性 。 工 具 演 示 截 图 工 具 演 示 截 图 A u t h M a t r i x 样 本 配 置 样 本 配 置 假 阳 性 检 测 （ 无 效 的 会 话 令 牌 ） 假 阳 性 检 测 （ 无 效 的 会 话 令 牌 ）
C S R F 检 测 检 测 跨 用 户 资 源 测 试 跨 用 户 资 源 测 试 用 户 认 证 用 户 认 证
F a i l u r e   R e g e x 模 式 配 置 样 本 模 式 配 置 样 本 项 目 地 址 项 目 地 址 A u t h M a t r i x ： h t t p s : / / g i t h u b . c o m / S e c u r i t y I n n o v a t i o n / A u t h M a t r i x 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理