Burp Suite插件专为文件上传漏洞检测设计，提供自动化Fuzz测试，共300+条payload。
工具介绍
本Burp Suite插件专为文件上传漏洞检测设计，提供自动化Fuzz测试，共300+条payload。效果如图
主要功能
🛡️ WAF绕过技术
- 后缀变异：ASP/ASPX/PHP/JSP后缀混淆（空字节、双扩展名、特殊字符等）
- 内容编码：MIME编码、Base64编码、RFC 2047规范绕过
- 协议攻击：HTTP头拆分、分块传输编码、协议走私
🖥️ 系统特性利用
🎭 内容欺骗
- 魔术字节注入（GIF/PNG/PDF头）
- SVG+XSS组合攻击
- 文件内容混淆（注释插入、编码变异）
使用指南
-
拦截文件上传请求
-
右键请求内容 → "Send to Intruder"
-
Positions内将Content-Disposition开始，到文件内容结束的数据作为fuzz对象，如图
- 在Intruder的"Payloads"标签中选择：
Payload type: Extension-generated Select generator: upload_auto_fuzz
- 取消Payload encoding选择框，如图
- 开始攻击并分析响应
Payload分类说明
| 类别 | 样本payload | 检测目标 |
|---|---|---|
| 后缀绕过 | filename="test.asp;.jpg" | 文件类型校验缺陷 |
| Content-Disposition | content-Disposition: form-data | 头解析大小写敏感性 |
| 魔术字节 | GIF89a;<?php... | 内容检测绕过 |
| 协议走私 | Transfer-Encoding: chunked | WAF协议解析差异 |
工具获取
https://github.com/T3nk0/Upload_Auto_Fuzz
文章来源：夜组安全
黑白之道发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！
如侵权请私聊我们删文
END
官方
5.57K篇文章
177.70M总阅读量
