Exploración de vulnerabilidades frente a la confusión de una aplicación web

La idea de fuzzing es enviar datos a la interfaz con poca inteligencia: basura, entrada aleatoria, etc. Cuando está utilizando un escáner de vulnerabilidades, por lo general, comprueba si hay problemas bien conocidos. En el caso de aplicaciones web: inyecciones y así sucesivamente. Es posible que un escáner de vulnerabilidades incluya algún tipo de confusión como una de las pruebas que realiza.

Fuzzing es una forma de prueba de vulnerabilidad. Pero la prueba de vulnerabilidad no es necesaria una forma de fuzzing. Algunos escáneres de vulnerabilidad pueden usar técnicas de fuzzing, módulos o complementos para hacerlo. Por ejemplo, Nessus tiene los siguientes complementos para abordar problemas "desconocidos" en aplicaciones web ( fuente ):

• 44967: Vulnerabilidad de ejecución de comando genérico de CGI (basada en el tiempo)
• 44136: Secuencias de comandos de inyección de cookies genéricas CGI
• 44135: Inyección de cookies genéricas del servidor web
• 44134: Descubrimiento de parámetros ocultos genéricos de CGI
• 43160: CGI Generic SQL Injection (ciego, basado en el tiempo)
• 42872: Vulnerabilidad de inclusión de archivos locales genéricos de CGI (2ª pasada)
• 42479: Vulnerabilidad de inyección de SQL genérico CGI (2ª pasada)
• 42427: Vulnerabilidad de inyección de SQL genérico CGI (encabezados HTTP)
• 42426: Vulnerabilidad de inyección de SQL genérico CGI (cookies HTTP)
• 42425: Vulnerabilidad genérica persistente de secuencias de comandos entre sitios CGI
• 42424: CGI Generic SQL Injection (ciego)
• 42423: Vulnerabilidad de inyección CGI genérica CGI
• 42056: Vulnerabilidad de inclusión de archivos locales genéricos en CGI
• 42055: Vulnerabilidad de cadena de formato genérico CGI
• 42054: Vulnerabilidad de inyección CGI genérica CGI
• 39469: Vulnerabilidad de inclusión remota genérica de archivos CGI
• 39468: Vulnerabilidad de inyección de encabezado genérico CGI
• 39467: Vulnerabilidad transversal de la ruta genérica CGI
• 39465: Vulnerabilidad de ejecución de comando genérico de CGI
• 11139: Vulnerabilidad de inyección de SQL genérico CGI

Esto ayuda a determinar los problemas que no están cubiertos por otros complementos basados en técnicas derivadas, mecanismos de toma de huellas digitales o enfoques de explotación canalizados.