關于FUSE

FUSE是一款功能強大的滲透測試安全工具，可以幫助廣大研究人員在最短的時間內迅速尋找出目標軟件系統中存在的文件上傳漏洞。

FUSE本質上是一個滲透測試系統，主要功能就是識別無限制可執行文件上傳（UEFU）漏洞。

關于如何配置和執行FUSE，請參閱以下內容。

工具安裝

當前版本的FUSE支持在Ubuntu 18.04和Python 2.7.15環境下工作。

首先，我們需要使用下列命令安裝好FUSE正常運行所需的依賴組件：

# apt-get install rabbitmq-server

# apt-get install python-pip

# apt-get install git

接下來，將該項目源碼克隆至本地：

$ git clone https://github.com/WSP-LAB/FUSE

并切換至項目目錄下配置好依賴環境：

$ cd FUSE && pip install -r requirements.txt

如果你想要使用selenium實現無頭瀏覽器驗證的話，你還需要安裝好Chrome和Firefox Web驅動器。

工具使用

【點擊獲取學習資料】

• 滲透工具

• 技術文檔、書籍 最新大廠面試題目及答案

• 視頻教程

• 應急響應筆記

• 學習思路構圖等等

FUSE配置

FUSE使用了用戶提供的配置文件來為目標PHP應用程序指定參數。在測試目標Web應用程序之前，必須將相關參數提供給腳本執行。具體請參考項目的README文件或配置文件參考樣例。

針對文件監控器的配置樣例（可選）：

$ vim filemonitor.py
…
10 MONITOR_PATH=’/var/www/html/’ <- Web root of the target application
11 MONITOR_PORT=20174 <- Default port of File Monitor
12 EVENT_LIST_LIMITATION=8000 <- Maxium number of elements in EVENT_LIST
…

FUSE執行

FUSE：

$ python framework.py [Path of configuration file]

文件監控器：

$ python filemonitor.py

掃描結果：

• 當FUSE完成了滲透測試任務之后，將會在當前工作目錄下創建一個[HOST]目錄和一個[HOST_report.txt]文件。
• [HOST]文件夾中存儲的是工具嘗試上傳的所有文件。
• [HOST_report.txt]文件中包含了滲透測試的執行結果，以及觸發了UEFU漏洞的相關文件信息。

漏洞CVE

如果你在號盜了UFU或UEFU漏洞，可以通過運行FUSE來獲取相關漏洞的CVE編號信息：

工具&論文引用

@INPROCEEDINGS{lee:ndss:2020,author = {Taekjin Lee and Seongil Wi and Suyoung Lee and Sooel Son},title = {{FUSE}: Finding File Upload Bugs via Penetration Testing},booktitle = {Proceedings of the Network and Distributed System Security Symposium},year = 2020}

總結

以上是生活随笔為你收集整理的使用FUSE挖掘文件上传漏洞的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。