本文围绕 Yakit Web Fuzzer 展开，介绍其在前端加密处理场景中的应用。阐述了 Web Fuzzer 核心流程，包括预处理、参数预加载等。以 AES - ECB 前端加密为例，给出简易和完美两种测试方案，解决了 CSRF Token 及加密问题，还提供了 Yak 官方资源。
背景知识
随着 Yakit Web Fuzzer 的广泛使用，我们遇到了很多非常复杂且需要针对前端加密的处理场景，为此，虽然在独一无二的热加载机制理论中可以解决这类问题，但是在某些更贴近实战的场景还是会有水土不服。为此我们在 Web Fuzzer 中恢复了 {
{params(...)}} 标签的使用，这个标签可以在一个 Web Fuzzer 中做各种便捷操作。当然 {
{params(...)}} 作为一个 Yaklang Fuzz Tag，我们采用了 “构造函数” 的内置 Hook 让他更具备实战价值。
我们以非常常见的 AES-ECB 进行前端加密的场景来使用 Yakit 解决测试问题。
Web Fuzzer 核心流程
我们实现 Web Fuzzer 的时候，其实并不是简单的把一个数据包发送出去，同时为了保证数据包的自动纠错，自动修复 Content-Type，实现自动热加载，我们实现了下面非常复杂的流程
依托于 Yak 引擎内置的动态代码加载能力，我们可以很容易进行预处理，参数预加载，动态代码执行，beforeRequest 和 afterRequest Hook。
如何在 Web Fuzzer 中使用 params?
版本要求： Yakit-1.0.16-sp2 以及以上
我们通过 Web Fuzzer Request 区域的 “热加载标签” 打开热加载代码调试界面，然后点击 “预加载参数展开” 即可看到 _
最低0.47元/天 解锁文章
扫一扫
1562
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
