Прикручиваем бомбу[Jdam]💣 к молнии[Owasp ZAP]⚡️

Owasp zap на самом деле очень мощный инструмент для поиска багов. Ajax Spider, возможность настройки аутентификации на таргете с дальнейшим пролонгированием сессии, HttpFuzzer работающий на dirbuster, который можно кофигурировать с помощью UI.

Это лишь некоторые из них, но я предлагаю поговорить про последнюю функцию из перечисленных выше.
HttpFuzzer имеет обширный набор возможностей(рис.1), даже возможность немного поффазить json(рис.2).

Однако немного поработав с ним на практике, обнаружил, что возможности мутатора для json весьма скудны, коей факт при дальнейшем исследовании исходников подтвердился:
1. Импорт класса JsonMutator из библиотеки com.natpryce.snodge предназначенной для простенького фаззинга JSON, XML и HTML форм.
2. Создание переменной mutator класса JsonMutator без дополнительных изощерений далее.

Меня это в корне не устроило, а json тело запроса одной конечной точки поффазить хотелось чем-нибудь посерьезнее без сильной головной боли, например, задействовав вышеупомянутый jdam.

Благо Zap предоставляет обширные возможности скриптинга большинства используемых функций. Например, в контексте фаззера меня заинтересовал раздел Payload Generator(рис.3). И не зря.

Посмотрев немного на имеющиеся в данной категории набросал небольшой скриптик, прибегнув к хаку, чтобы доставать json из тела запроса из окна настройки фаззера, т.к. интерфейс для написания скрипта в категории Payload Generator'а не предоставляет возможности вытащить исходный json.

Скрипт генерирует гораздо более веселые payload'ы на основе заданного json'a(рис.4), а колличество задается в самом скрипте.

И далее можно без каких-либо проблем фаззить конечную точку(рис.5,6)
Сам скрипт в комментарии к записи ⬇️