web - 使用 AFL++ Fuzz Web 应用程序并记录错误消息

Question

我在 Linux 上工作。我想要做的是通过 afl++ 对 Web 应用程序进行模糊测试。我的目标不是找到 XSS/CSRF 的风险……（我想我可以使用 ZAP 或 Burp 来处理它。）我专注于什么样的输入会发生“崩溃”。同时，可以记录崩溃的错误信息，以供进一步分析。

我已经阅读了一些关于此的文章，似乎 afl fuzzer 需要通过套接字工作并且必须修改 Web 应用程序的源代码。但是就我而言，我不想修改源代码。我想要一个更通用的解决方案。

Fuzz Target：Web 应用程序二进制文件（例如 httpd）

主要目标：崩溃样本和崩溃错误日志

我对这个领域真的很陌生。请给我一些帮助:)

Answer 1

如果您想使用 AFL++ 和套接字运行执行模糊测试，您需要修改您想要模糊测试的程序的源代码，以将测试用例文件作为套接字的缓冲区传递。或者使用允许套接字的 AFL++ 分支。

因此，步骤可能是：

1. 修改httpd适配AFL++的源码。
2. 用 AFL++ 编译
3. 创建测试用例（和/或添加字典）
4. 绒毛（和利润）。

AFL++ 可以在没有仪器的情况下工作，但在我看来，如果你使用网络协议模糊器（例如 boofuzz），你的建议会更好。即使对于 Web 应用程序，您也有 Burp Suite（turbo intruder 是一个非常好的插件）或 ZAP（如您所说）