WCFDSer-ngng：增强Burp的WCF反序列化功能

资源摘要信息:"WCFDSer-ngng是一个基于Brian Holyfield原始作品的Burp Extender插件，用于使二进制肥皂对象可读和可修改。它修复了原版本未能正确执行序列化的错误，并增加了将扫描仪/入侵与WCF结合使用的功能。具体来说，WCFDSer-ngng能够让用户右键点击二进制肥皂对象，然后将反序列化内容发送到入侵者工具中，之后通过复制和粘贴到文件，最后使用sqlmap的命令行选项-r file.txt来执行SQL注入测试。它主要通过修改二进制肥皂对象的反序列化、重新序列化、发送过程，并且在扫描器的情况下反序列化响应，使得burp可以标记出任何异常字符串。此插件还利用了Via头信息来识别需要序列化的请求，以便在使用sqlmap时保持正确的HTTP格式。" 知识点详细说明: 1. WCF (Windows Communication Foundation)：WCF是微软公司为了解决应用程序之间的通信问题而开发的一套框架，它是一个服务导向的编程模型，支持分布式应用程序间各种不同类型的通信，包括肥皂（SOAP）消息。 2. 反序列化（Deserialization）：在计算机编程中，反序列化是指将序列化后的数据（通常是以字符串或字节流的形式存储的）转换回原始对象的过程。这个过程使得数据能够在不同的系统或程序中传输后恢复到其原先的结构和类型。 3. Burp Suite：Burp Suite是一个用于Web应用安全测试的集成化平台，它集合了多种工具用于发现、分析以及利用安全漏洞。Burp Extender是Burp Suite的一个扩展接口，允许开发人员创建自定义的插件来扩展Burp Suite的功能。 4. 序列化与反序列化的安全性：序列化和反序列化过程中的安全性问题常常成为安全漏洞的来源，特别是在应用程序处理不受信任的输入时。如果攻击者能够控制序列化的数据，就有可能通过特定构造的数据触发应用程序执行恶意代码，这一过程被称为反序列化漏洞。 5. Burp插件开发：Burp Suite的插件通常是用Java语言开发的，开发者需要熟悉Burp Extender API以创建新的插件功能。这包括对Burp Suite代理、扫描器、攻击器等组件的集成。 6. SQLMap：SQLMap是一个开源的自动化SQL注入和数据库渗透测试工具，它支持多种数据库管理系统。通过Burp插件与SQLMap的集成，可以在安全测试中实现自动化数据库漏洞扫描和利用。 7. Via头信息：在网络通信中，Via头信息用于记录消息转发路径中的每一跳，这在理解请求/响应链中是非常重要的。WCFDSer-ngng插件利用Via头信息来帮助识别和处理需要被序列化的请求。 8. 二进制肥皂对象：这是指以二进制格式编码的肥皂消息。肥皂是一种基于XML的协议，用于交换XML格式的结构化信息，在各种不同的网络应用环境中进行远程调用。二进制格式的肥皂消息是肥皂的一种序列化形式，提高了传输效率，但同时降低了可读性。 9. 持续集成和自动化：通过WCFDSer-ngng插件，安全测试人员可以将原本繁琐的手动分析和修改二进制肥皂对象的过程自动化，极大地提高了工作效率。 在实际工作中，WCFDSer-ngng插件可以应用于安全审计和渗透测试阶段，帮助安全专家快速识别和利用WCF服务中的序列化漏洞，从而对Web应用程序进行更深入的安全评估。此外，它也为安全研究者和开发者提供了对WCF协议反序列化漏洞更深入理解和防护的可能。