Mozilla 有一個附加元件網站，在那裡面有成千上萬的，非常有用的，不同種類的附加元件。一些附加元件對於滲透測試人員和安全分析人員來說是相當有用的。這些滲透測試附加元件幫助我們執行不同類型的攻擊，並能直接從瀏覽器中更改請求 Header。對於滲透測試中涉及到的相關工作，使用附加元件方式可以減少我們對獨立工具的使用。
在這篇簡明的文章中，我們舉出了一些流行的和有趣的 Firefox 附加元件，這些附加元件對滲透測試人員來說是非常有用的。這些附加元件是多樣的，有信息收集工具，也有攻擊攻擊。使用那些你認為有用的附加元件就可以了。這裡面也有一些需要額外付費的附加元件，比如 Dominator Pro，它就需要從官方購買。請看下面的列表。
對安全研究人員和滲透測試人員有用的Firefox 附加元件
FoxyProxy StandardFoxyProxy 是一個高級的代理管理附加元件。它能夠提高 Firefox 內建代理的相容性。這兒也有一些其它的相似類型的代理管理附加元件。但是它可以提供更多的功能。基於URL的參數，它可以從一個或多個代理之間轉換。當代理在使用時，它還可以顯示一個動畫的圖標。假如你要想看這個工具使用過的代理，你就可以查看它的日誌。
網址：https://addons.mozilla.org/en-US/firefox/addon/foxyproxy-standard/
FirebugFirebug 是一個好的附加元件，它集成了 Web 開發工具。使用這個工具，你可以編輯和調試頁面上的 HTML、CSS 和 JavaScript，然後查看任何的更改所帶來的影響。它能夠幫助我們分析 JS 文件來發現 XSS 缺陷。用來發現基於 DOM 的 XSS 缺陷，Firebug 是相當有用的。
網址：https://addons.mozilla.org/en-US/firefox/addon/firebug/
Web DeveloperWeb Developer 是另外一個好的附加元件，能為瀏覽器添加很多 Web 開發工具。當然在滲透滲透測試中也能幫上忙。
網址：https://addons.mozilla.org/de/firefox/addon/web-developer/
User Agent Switcher該附加元件是在瀏覽器上增加一個菜單和一個工具條按鈕。如果你想改變 User Agent，使用這個工具條和按鈕就可以了。該附加元件可以幫助我們在執行一些攻擊時做到欺騙的目的。
網址：https://addons.mozilla.org/en-US/firefox/addon/user-agent-switcher/
Live HTTP Headers該附加元件是相當有用的滲透測試附加元件。它實時的現實每一個 Http 請求和 Http 響應的Headers。當然你也可以通過點擊位於左側角落的按鈕來保存 Header 信息。多餘的話就不多說了。重要性大家都知道。
網址：https://addons.mozilla.org/en-US/firefox/addon/live-http-headers/
Tamper DataTamper Data 和上面的 Live HTTP Header 類似。但 Temper Data 有 Header 編輯的功能。使用該附加元件，你可以查看，編輯 HTTP/HTTPS Header 和 Post 參數。它還可以通過更改Header Data 被用於執行 XSS 和 SQL 注入攻擊。
網址：https://addons.mozilla.org/en-US/firefox/addon/tamper-data/
HackbarHackbar 是一個簡單的滲透測試工具。它能幫助我們測試簡單的 SQL 注入和 XSS 漏洞。你不能使用它來執行標準的 Exploits，但是你可以使用它來測試缺陷存在與否。你可以手動的提交帶有 GET 和 POST 的表單數據。它還有加密和編碼的功能。大部分情況下，這個工具可以幫助我們使用編碼的 Payload 測試 XSS 缺陷。它還支持鍵盤快捷鍵方式來執行多種任務。我很確定，大多數安全領域的夥計們都知道這個工具。這個工具能用來發現 POST XSS 缺陷。因為它可以手動發送 POST Data 到任何你喜歡的頁面。這樣的話，你就可以繞過客戶端頁面的驗證。如果你的 Payload 將在客戶端編碼，你可以使用編碼工具來編碼你的Payload，然後執行攻擊。如果應用易受到 XSS 攻擊，我非常確信你將在 Hackbar 的幫助下找到這個缺陷點。
網址：https://addons.mozilla.org/en-US/firefox/addon/hackbar/
WebSecurityWebSecurity 是一個不錯的滲透測試工具。我們已經在前面的文章中介紹過這個工具欄。WebSecurity 可以檢測大多數常見的 Web 應用缺陷。這個工具可以容易的檢測 XSS、SQL 注入和其它 Web 應用缺陷。不像其它所列舉的工具，WebSecurity 完完全全是一個滲透測試工具。
網址：https://addons.mozilla.org/en-us/firefox/addon/websecurify/
Add N Edit CookiesAdd N Edit Cookies 是一個 Cookie 編輯附加元件，它允許你在瀏覽器中添加和編輯 Cookie 數據。使用這個附加元件，你可以輕鬆的手動添加 Session 數據。這個工具可以在當你擁有活動的用戶的 Session 數據時執行 Session 劫持攻擊。編輯你的 Cookie 添加數據並劫持該帳戶。
網址：https://addons.mozilla.org/en-US/firefox/addon/add-n-edit-cookies-13793/
XSS Me跨網站腳本攻擊是最常見的web應用缺陷。在一個 Web 應用中檢測 XSS 缺陷，這個附加元件應該是一個有用的工具。XSS Me 常常用於發現反射型的 XSS 缺陷。它掃瞄頁面中所有的表單，然後在所選擇的頁面上使用預定義的 XSS Payloads 執行攻擊。在掃瞄完成以後，它會列出所有的頁面，這些頁面會顯示 Payload。這些頁面可能易受到 XSS 攻擊。現在你可以手動測試 Web 頁面去發現 XSS 缺陷存在與否。
網址：https://addons.mozilla.org/en-us/firefox/addon/xss-me/
SQL Inject MeSQL Inject Me 也是一個不錯的 Firefox 附加元件，常常被用於查找 Web 應用的 SQL 注入缺陷。這個工具不能利用缺陷，但是能夠顯示它是存在的。SQL 注入是最具傷害的 Web 應用缺陷之一，它孕育攻擊者查看，更改，編輯，添加或刪除數據庫中的記錄。這個工具向表單中發送一些未被過濾的字符串，然後嘗試搜索數據庫的錯誤信息。如果它發現數據庫的錯誤信息，它就會標記該頁面是易受攻擊的頁面。QA 測試人員可以使用這個工具作為 SQL注入的測試。
網址：https://addons.mozilla.org/en-us/firefox/addon/sql-inject-me/
FlagFoxFlagFox 是另外一個有趣的附加元件。一旦安裝到瀏覽器，它就會顯示一個國旗用來告知Web 服務器的位置。它同時也包含其它功能，如：Whois、WOT、ScoreCard 和 Ping。
網址：https://addons.mozilla.org/en-us/firefox/addon/flagfox/
CrytoFoxCrytoFox 是一個加密和解密的工具。它支持絕大多數的加密算法。因此你可以輕易的使用支持的加密算法加密和解密數據。這個附加元件有字典攻擊的支持，可以破解 MD5 的密碼。雖然對它的評論不太好，但它的作用還是令人滿意的。
網址：https://addons.mozilla.org/en-US/firefox/addon/cryptofox/
Access MeAccess Me 是另外一個專業的安全測試附加元件。這個附加元件是由 XSS Me 和 SQL Inject Me 同一家公司開發的。該附加元件是用來測試 Web 應用的訪問缺陷的。這個工具是通過發送一些不同版本的頁面請求來工作的。帶有 HTTP HEAD 的請求和由 SECCOM 組成的請求將會被發送。一個有 Session 和 HEAD/SECCOM 的集合同樣也會被發送。
網址：https://addons.mozilla.org/en-US/firefox/addon/access-me/
SecurityFocus Vulnerabilities search plugin該附加元件不是一個安全工具，而是一個搜索附加元件，讓用戶從 Security Focus 的數據庫來搜索相關的缺陷點。
網址：https://addons.mozilla.org/en-us/firefox/addon/securityfocus-vulnerabilities-/
Packet Storm search plugin這是另外一個搜索附加元件，讓用戶從 packetstormsecurity.org 網站搜索工具和相關利用。這個網站提供最新的免費的安全工具，利用和公告。
網址：https://addons.mozilla.org/en-us/firefox/addon/packet-storm-search-plugin/
Offset Exploit-db Search這個附加元件和上面兩個類似。它也是讓用戶從 exploit-db.com 網站搜索缺陷和列舉的利用。當然這個網站提供的東東也是最新。
網址：https://addons.mozilla.org/en-us/firefox/addon/offsec-exploit-db-search/
Snort IDS Rule Search這個附加元件也是一個搜索附加元件。用戶可以利用這個附加元件從 snort.org 網站搜索Snort IDS rules。Snort 是世界範圍內部署最廣泛的 IDS/IPS 技術。它是開源的網絡入侵預防和檢測系統，超過400000用戶在使用該技術。
網址：https://addons.mozilla.org/en-US/firefox/addon/snort-ids-rule-search/
這裡僅僅是一些你可以在 Web 應用滲透測試中使用的附加元件。當然你不可能使用這些工具就可以完成你的滲透測試工作，但這些工具是相當有用的，可以減少你使用其它獨立的工具。 格言：我只做有技術的搬運工！
原文：http://resources.infosecinstitute.com/use-firefox-browser-as-a-penetration-testing-tool-with-these-add-ons/
翻譯：FREEBUF
沒有留言:
張貼留言