基于WSDLWeb服务渗透测试工具开发与应用.pdfVIP

WSDL是一种XML格式的描述文档，用来描述webservices在客户端与服务端之间通口的信息。它包含

应用在和webservices通信中可能用到的参数信息。这对渗透测试人员来说是一个好消息，因为我们通过

wsdl文档中的描述信息来对webservices进试和操作。

Burp是用来处理HTTP请求和响应的工具之一。不过美中不足的是Burp

并不原生的支持对WSDL文件的解析。通常我们的解决办法是使用SOAP-UI，并

一个来处理由SOAP-UI产生的请求。我已经写了一个插件来使得Burp

能够接收一个WSDL请求并将其中的方法解析出来，并构造出对应的SOAP请求，

方便测试人员发送请求到远端的webservice。

Wsdler插件及其源码信息在的仓库地址：

Wsdler要求：

1，Burp1.5.01及更高版本。2，必须从cmd来启动Burp

启动wsdler(插件和主程序放在同一目录下)

java-classpathWsdler.jar;burp.jarburp.StartBurp

使用样例：

这里我们会中断一个商店的wsdl文件。

WSDLisadescriptiondocumentinXMLformat,usedtodescribethecommunicationinterfaceinformationofwebservices

weentheclientandtheserver.Itcontainsinformationaboutparametersthattheapplicationmayuseincommunicating

withthewebservice.Thisisgoodnewsforpenetrationtesters,becauseweusethedescriptioninformationinwsdldocuments

totestandoperatewebservices.

BurpisoneofthebesttoolsforhandlingHTTPrequestsandresponses.However,theflyinthe

ointmentisthatBurpdoesnotnativelysupportparsingWSDLfi.Usuallyoursolutionistouse

SOAP-UIandbuildatohandletherequestsgeneratedbySOAP-UI.Ihavewrittenaplug-in

toenableBurptoreceiveaWSDLrequest,parsethemethodsinit,andconstructthe

correspondingSOAPrequest,sothatthetestercansendtherequesttotheremotewebservice.

TheWsdlerplug-inanditssourcecodeinformationareatthe

warehouseaddress:

Wsdler

requirements:

1,Burp1.5.01andhigher.2.Burpmustbestartedfromcmd

Startwsdler(theplug-inandthemainprogramarecedin

thesamedirectory)

java-classpathWsdler.jar;burp.jarburp.StartBurp

Usage

examp