Настройка фаззера

Все настройки, связанные с фаззером и поиском аномалий, вынесены на отдельную вкладку «Fuzz testing» редактора политик.

Для обнаружения факта наличия аномалии или ее отсутствия FAST проводит анализ ответа целевого приложения на запрос с полезной нагрузкой, содержащий аномальные байты. В зависимости от заданных условий, запрос, отправленный FAST, либо будет признан аномалией, либо нет.

Вы можете:

• добавлять полезные нагрузки нажатием на ссылки «Add payload» и «Add another payload»;
• добавлять условия, влияющие на работу фаззера, нажатием на ссылки «Add condition» и «Add another condition»;
• удалять созданные полезные нагрузки и условия нажатием на символ «—» справа от них.

Список параметров, которые допустимо использовать при создании условий:

• Status: код ответа HTTP;
• Length: длина ответа (в байтах);
• Time: время ответа на запрос (в секундах);
• Length diff: разница в длине ответа на запрос FAST и на оригинальный базовый запрос (в байтах);
• Time diff: разница между временем ответа на запрос FAST и на оригинальный базовый запрос (в секундах);
• DOM diff: разница в количестве элементов DOM в запросе FAST и исходном базовом запросе;
• Body: регулярное выражение Ruby. Условие выполняется, если тело (body) ответа удовлетворяет этому регулярному выражению.

В секции «Stop fuzzing if response» к параметрам, описанным выше, добавляются следующие:

• Anomalies: количество обнаруженных аномалий;
• Timeout errors: количество раз, когда не было получено ответа от сервера.

При помощи комбинации этих параметров можно настроить необходимые условия, которые влияют на работу фаззера (см. ниже).

Секция Payloads

Здесь задаются одна или несколько полезных нагрузок.

При вставке (Insert) в значение point’a полезной нагрузки указываются:

• размер нагрузки (от 1 до 255 байт);
• место, куда вставлять нагрузку: в начало, в конец или в случайное место.

При замене (Replace) полезной нагрузкой значения point’a указываются:

• способ замены: заменять случайный сегмент в значении, первые M байт, последние M байт, значение целиком;
• размер нагрузки M (от 1 до 255 байт).

Секция Consider result an anomaly if response

Если ответ приложения удовлетворяет всем условиям, заданным в этой секции, то считается, что найдена аномалия.

Пример:

Считать, что отправленный FAST запрос вызвал аномалию, если тело ответа удовлетворяет регулярному выражению .*SQLITE_ERROR.*:

Секция Consider result not an anomaly if response

Если ответ приложения удовлетворяет всем условиям, заданным в этой секции, то считается, что аномалия не найдена.

Пример:

Считать, что отправленный FAST запрос не вызвал аномалию, если код ответа меньше 500:

Секция Stop fuzzing if response

Если ответ приложения, количество найденных аномалий или количество ошибок таймаута удовлетворяют всем условиям, заданным в этой секции, то фаззер прекращает поиск аномалий.

Пример:

Фаззинг будет остановлен при обнаружении более двух аномалий (количество единичных аномальных байт в каждой аномалии может быть любым и не равняться двум):