Automated Fuzzing Framework for Vulnerability Detection in Complex Systems

Abstract

O aumento de aplicações web em tempo real estabeleceu o protocolo WebSocket como uma tecnologia de comunicação fundamental. No entanto, a sua natureza assíncrona e ”stateful”apresenta desafios de segurança que as metodologias de teste tradicionais, baseadas em HTTP, não conseguem abordar. O panorama atual das ferramentas de segurança para WebSockets é dominado por abordagens manuais ou semi-automatizadas, que não têm sofisticação suficiente para detetar de forma dinâmica e eficiente vulnerabilidades do lado do servidor, deixando uma superfície de ataque por explorar.

Esta dissertação aborda esta lacuna através do desenvolvimento de uma framework de fuzzing automatizada para deteção de vulnerabilidades do lado do servidor em várias implementações de WebSocket. A principal contribuição consiste na melhoria do extensão Backslash Powered Scanner (BPS) do Burp Suite, originalmente destinada a HTTP, para o domínio dos WebSockets. A solução envolveu a introdução de uma abordagem inovadora para o fuzzing de mensagens WebSocket, desde o estabelecimento da ligação até à recolha de respostas. A lógica de deteção principal do scanner foi adaptada com novos critérios de comparação ajustados ao protocolo, o que permite uma análise detalhada do comportamento do servidor sem depender da semântica tradicional de HTTP.

A eficácia da framework foi validada em dois ambientes distintos: a aplicação Damn Vulnerable Web Sockets (DVWS) e um laboratório personalizado com uma implementação complexa de Socket.IO. A avaliação demonstrou que a framework identificou com sucesso e de forma automática uma série de vulnerabilidades de alto impacto do lado do servidor, incluindo SQL Injection, Server-Side Template Injection, PHP Code Injection, e File Inclusion. Em testes comparativos, a framework superou consistentemente as ferramentas existentes, que exigiam uma intervenção manual significativa e falhavam frequentemente em cenários com handshakes complexos.

Esta investigação fornece uma ferramenta prática e robusta que preenche uma lacuna na segurança de aplicações web modernas. Ao adaptar com sucesso a lógica de análise do BPS ao protocolo WebSocket, este trabalho oferece uma solução eficaz para profissionais de segurança e contribui com melhorias valiosas e open-source para a comunidade.

Alternate abstract:

The increase of real-time web applications has established the WebSocket protocol as a fundamental communication technology. However, its asynchronous and stateful nature presents security challenges that traditional HTTP-based testing methodologies fail to address. The current landscape of WebSocket security tools is dominated by manual or semi-automated approaches, which lack the sophistication to dynamically and efficiently detect server-side vulnerabilities, leaving an attack surface underexplored.

This thesis addresses this gap by developing an automated fuzzing framework for detecting server-side vulnerabilities within various WebSocket implementations. The primary contribution is the extension of the Backslash Powered Scanner (BPS) Burp Suite extension, originally for HTTP, to the WebSocket domain. The solution involved introducing a novel approach to how to fuzz WebSocket messages, from connection establishment to response collection. The scanner’s core detection logic was adapted with new, protocolspecific comparison metrics, enabling nuanced analysis of server behavior without reliance on traditional HTTP semantics.

The framework’s efficacy was validated in two distinct environments: the Damn Vulnerable Web Sockets (DVWS) application and a custom-built laboratory featuring a complex Socket.IO implementation. The evaluation demonstrated that the framework successfully and automatically identified a range of high-impact server-side vulnerabilities, including SQL Injection, Server-Side Template Injection, PHP Code Injection, and File Inclusion. In comparative tests, the framework consistently outperformed existing tools, which required significant manual intervention and often failed in scenarios involving complex handshakes.

This research delivers a practical and robust tool that bridges a gap in modern web application security. By successfully adapting BPS scanning engine to the WebSocket protocol, this work provides an effective solution for security professionals and contributes valuable, open-source enhancements to the community.