Palestra Fuzzing Uninove

1. Fuzzing e Segurança

2. root@root:~# whoami
Danilo Vaz
Blog: unknownsec.wordpress.com
Twitter: @unknownantisec
Github: github.com/danilovazb
Cleiton Pinheiro
Blog: blog.inurl.com.br
Twitter: @googleinurl
Github: github.com/googleinurl

3. O que é Fuzzing?
Fuzzing é uma tecnica
para identificar falhas
através de testes
automatizados ou semi-
automatizados.

4. Como funciona esse paranauê?
- Como injetar
dados em
aplicações WEB
- Tools para
facilitar

5. Injetando dados - Fuzzing Web
GET /FUZZ/FUZZ/parâmetro=FUZZFUZZ
User-Agent: FUZZ
Cookie: FUZZ

6. Injetando dados - Fuzzing Web
POST /FUZZ/FUZZ/ FUZZ
User-Agent: FUZZ
Cookie: FUZZ
parâmetro=FUZZ

7. Tools
WebScarab
WebScarab é um framework de análise de aplicações que se comunicam
usando os protocolos HTTP e HTTPS.
https://www.owasp.org/index.php/OWASP_WebScarab_NG_Project
Burp Suite
Burp Suite é uma ferramenta em JAVA para testes em aplicações web,
identificando algumas falhas web
http://portswigger.net/burp/

8. Tools - Made in Brasil
Scanner InurlBR:
Ferramenta para busca avançada em
motores de busca, possibilitando
desde analise com exploit GET/POST
a captura de emails com validação
personalizada interna para cada
alvo/url encontrada.

9. Fuzzing na prática!

10. Obrigado!
Download dos slides: