【悪用ダメ】XVWAちゃんにFuzzing攻撃をしてみる（Server Side Template Injection 編） - Qiita

初めに どうも、クソ雑魚のなんちゃてエンジニアです。 本記事は以前紹介した総受けサイト「XVWA」に対してFuzzing攻撃を仕掛けてみたときのことをまとめてみようと思う。 今回はFuzzingとしてSSTIの脆弱性を付くようなコードを送り込みます。 ※ツールとしてはBurpSuite(「OS Command Injection編」を参照)の拡張機能を使います。 拡張機能コードを自作していきます。 ※XVWAをローカルに立てる記事は以下になります。 ※その他色々と「XVWA」ちゃんをいじめた記事もあるのでこっちもみていってね！！ ※悪用するのはやめてください。あくまで社会への貢献のためにこれらの技術を使用してください。法に触れるので。 目次 Fuzzingとは SSTI攻撃とは スクリプト作成 Payloadリストを作成 BurpSuite拡張機能作成 Fuzzing実践 スクリプトの取り