BurpSuite之FUZZ模糊测试
Fuzz会生成大量的随机数据对目标网站进行测试，去挖掘可能存在的漏洞，类似密码爆破，但是fuzz针对的是漏洞进行爆破,它也有自己的爆破字典 (fuzz用的好漏洞少不了)
哪些网站要用fuzz呢？
1. 当最目标网站没有更好的办法的时候就可以使用fuzz尝试爆破测试。
2. 目标网站什么都没有的时候，比如无法点击，或空白页面
举例
(1)网站URL地址一般形式
http://www.xxx.com/文件夹名称/文件名?参数A=值
(2)Fuzz的过程过程就是随机对网站进行爆破测试比如有如下网站：
http://www.aaa.com/mobile/mboile.php
fuzz会对该网站进行随机传参测试
http://www.aaa.com/mobile/mboile.php?mobile=13333333333
http://www.aaa.com/mobile/mboile.php?phone=13333333333
http://www.aaa.com/mobile/mboile.php?tel=13333333333
http://www.aaa.com/mobile/mboile.php?name=alix
......
一、针对目录Fuzz
- 针对目标网站上可能存在的目录进行FUZZ，以便让我们更好的了解目标网站的目录结构
1.打开burpsuite——proxy——open browser，访问目标网站并随机指定一个目录并开启拦截功能
比如： http://www.abc.com/image
2、把拦截到的数据包发送到intruder页面并通过add标记指定的目录，并在playload中添加/导入要FUZZ的目录字典