andymeneely/swen331fuzzer

swen331fuzzerCI镜像

镜像概述

该镜像为SWEN331课程模糊测试器作业提供CI配置，用于执行模糊测试相关任务，兼容本地运行与GitLab CI集成，帮助用户实践网页应用的安全测试。

核心功能

• 支持模糊测试的发现环节：识别网页输入点（表单字段、URL参数）
• 支持模糊测试的测试环节：检测输入是否缺乏sanitization处理
• 内置测试所需示例文件（words.txt、vectors.txt、badchars.txt）
• 适配本地环境与GitLab CI流水线

使用场景

• SWEN331课程作业中的模糊测试实践
• 本地验证网页应用的安全漏洞
• GitLab CI中的自动化模糊测试流程

配置说明

本地运行

拉取并启动镜像：

bash
docker run --rm -it -p 80:80 docker.xuanyuan.run/andymeneely/swen331fuzzer

启动后访问 http://localhost 查看结果。若镜像未正常停止，可通过 docker ps 查看进程，docker kill [容器ID] 终止进程。

GitLab CI配置

在GitLab CI配置文件中集成该镜像：

yaml
image:
  name: andymeneely/swen331fuzzer # 请勿修改
  entrypoint: [""]  # 请勿修改
before_script:
  - chown -R mysql:mysql /var/lib/mysql /var/run/mysqld
  - echo '[+] 启动mysql...'
  - service mysql start
  - echo '[+] 启动apache'
  - service apache2 start
fuzzrunner:
  script:
    # 可在此编写模糊测试或自定义命令
    - echo "hello class"
    # 查看镜像内置示例文件
    - cat /words.txt
    - cat /vectors.txt
    - cat /badchars.txt
    # 示例模糊测试命令（URL无/dvwa）
    - ruby fuzz.rb discover http://localhost/ --custom-auth=dvwa
    - ruby fuzz.rb discover http://127.0.0.1/fuzzer-tests
  stage: test

模糊测试预期结果

针对fuzzer-tests的测试预期：

发现阶段（fuzz discover）

• 主页 index.php 含表单输入 calzone 和URL参数 message
• 存在页面：valid.php、timeout.php、admin.php（未链接，含表单输入 company）、sensitive.php（仅从admin.php链接）
• 不存在页面："CioffisTheBest.html"
• 测试不应进入无限循环或访问 http://se.rit.edu

测试阶段（fuzz test）

• index.php 的 calzone 和 message 输入缺乏sanitization
• valid.php 无输入
• timeout.php 无输入但加载延迟≥2秒
• admin.php 的 company 输入缺乏sanitization
• sensitive.php 无输入但泄露敏感数据123-45-6789