Fuzzing 101 (with FFUF)

بسم الله الرحمن الرحيم

Di artikel ini saya akan menjelaskan sedikit tentang fuzzing

Hampir 80% bug yang saya temukan selalu menggunakan teknik fuzzing ,entah itu diawal , di tengah , atau di akhir

Beberapa bug yang saya temukan dari fuzzing

Tools yang dapat di gunakan untuk fuzzing web adalah

1. FFUF
2. Dirsearch
3. Gobuster
4. Dirbuster

Di artikel ini kita akan membahas FFUF karena menurut saya ffuf memiliki kelebihan di banding tools yang lain

untuk memulai fuzzing dengan ffuf anda dapat menginstall melalu github ffuf

ffuf -c -u https://test.com/FUZZ -w wordlist.txt -mc all -fc 404 -v

penjelasan command diatas

-c = colorize , untuk memberikan warna dari hasil fuzzing

-u = url untuk menentukan dimana kita akan melakukan fuzzing

-w = wordlist , untuk mentukan dokumen apa yang kita gunakan untuk fuzzing

-mc = match http code , standardnya http code yang muncul 200,204,301,302,307,401,403,405,500

-fc = filter http code , di gunakan untuk tidak memunculkan http code yang di inginkan di contoh adalah 404

-v = verbose output, memunculkan hasil yang lebih lengkap seperti lokasi redirect

salah satu trik fuzzing yang saya ketahui dari ffuf 

1. buat dokumen berisi alphabet a-f 
2. simpan dengan nama alphabet.txt
3. buat dokumen berisi text 1
4. simpan dengan nama word.txt
   
5. lakukan fuzzing dengan command (disini saya menggunakan ctf hackerone sebagai contoh)
   ffuf -c -u https://eb3291ccd2feb11971c074940c545c77.ctf.hacker101.com/api?SATU=FUZZ -w alphabet.txt:SATU -w word.txt -mc all -v
   

jika ketika melakukan fuzzing dengan cara diatas maka akan memungkinkan untuk menemukan beberapa parameter unik karena hasil yang terjadi adalah kita melakukan fuzzing dengan mencampurkan alphabet dengan wordlist yang kita punya 

https://test.com/api?SATU=FUZZ

SATU = alphabet a-f ( lebih baik pakai a-z tapi tutorialnya ribet nanti kalo kepanjangan alphabetnya) yang tersimpan di alphabet.txt

FUZZ= word yang sudah kita buat 1 ( bisa di tambahkan kata lain seperti , true,false,0 dsb) yang tersimpan di word.txt

gambaran hasil fuzzing seperti ini

beberapa hasilnya akan seperti ini

https://test.com/api?v=1

https://test.com/api?r=1

v = version atau verbose

r = redirect / role

dst tergantung keberuntungan dan setting api

sisanya tinggal tergantung kreatifitas teman-teman pembaca untuk menambahkan dan mengatur dimana tempat fuzzing

kalian dapat juga menambahkan wordlist lagi dan commandnya seperti ini

ffuf -c -u https://test.com/api?SATUDUA=FUZZ -w alphabet.txt:SATU -w alphabet.txt:DUA -w word.txt

seperti

https://test.com/api?cb=1

https://test.com/api?ad=1 

https://test.com/api?ab=1

dst

maka akan lebih banyak hasil yang ditemukan oleh ffuf

ffuf dapat di gunakan untuk format post

commandnya seperti ini

ffuf -c -u https://test.com/submit -w word.txt -H ‘Content-Type:application-json’ -d ‘{“FUZZ”:100}’

-H = header , digunakan untuk menambah header

beberapa macam header content-type,authorization,cookie dll

ffuf dapat menerima lebih dari 1 header

-d = data ,di gunakan untuk memasukan post data  di contoh diatas saya menggunakan petik satu (‘) karena json menggunakan petik 2 (“) di input datanya

untuk mempelajari ffuf lebih dalam , bisa via Tryhackme 

Untuk melakukan fuzzing disarankan menggunakan VPS karena ada kemungkinan IP terblock oleh waf

Untuk membuat VPS silahkan cek tutorial yang telah di buat Kanal Siber VPS