如何使用ParamSpider在Web文档中搜索敏感参数

FB客服

发布于 2020-09-14 17:04:08

4.2K00

代码可运行

文章被收录于专栏：FreeBufFreeBuf

运行总次数：0

代码可运行

ParamSpider

ParamSpider是一款功能强大的Web参数挖掘工具，广大研究人员可以利用ParamSpider来从Web文档的最深处挖掘出目标参数。

核心功能

针对给定的域名，从Web文档中搜索相关参数；
针对给定的子域名，从Web文档中搜索相关参数；
支持通过指定的扩展名扫描引入的外部URL地址；
以用户友好且清晰的方式存储扫描的输出结果；
在无需与目标主机进行交互的情况下，从Web文档中挖掘参数；

工具安装&下载

注意：ParamSpider的正常使用需要在主机中安装配置Python 3.7+环境。

广大研究人员可以使用下列命令将该项目源码克隆至本地，并安装相关的依赖组件：

$ git clone https://github.com/devanshbatham/ParamSpider

$ cd ParamSpider

$ pip3 install -r requirements.txt

$ python3 paramspider.py --domain hackerone.com

工具使用选项

1 - 执行一次简单扫描任务[未使用—exclude参数]：

$ python3 paramspider.py --domain hackerone.com

-> Output ex : https://hackerone.com/test.php?q=FUZZ

2 - 使用特定扩展名指定外部URL地址：

$ python3 paramspider.py --domain hackerone.com --exclude php,jpg,svg

3 - 查询嵌套参数：

$ python3 paramspider.py --domain hackerone.com --level high

-> Output ex : https://hackerone.com/test.php?p=test&q=FUZZ

4 - 存储扫描数据：

$ python3 paramspider.py --domain hackerone.com --exclude php,jpg --output hackerone.txt

5 - 使用自定义占位符文本（默认为“FYZZ”）：

$ python3 paramspider.py --domain hackerone.com --placeholder FUZZ2

6 - 使用静默模式（不在屏幕输出URL地址）：

$ python3 paramspider.py --domain hackerone.com --quiet

7 - 排除特定子域名：

$ python3 paramspider.py --domain hackerone.com --subs False

ParamSpider + GF

假设你现在已经安装好了ParamSpider，现在你想要从大量的参数中筛选出有意思的参数，那你就可以配合GF工具一起使用了。

注意：在使用该工具之前，请确保本地主机配置好了Go环境。

安装和配置命令如下：

$ go get -u github.com/tomnomnom/gf

$ cp -r $GOPATH/src/github.com/tomnomnom/gf/examples ~/.gf

Note : Replace '/User/levi/go/bin/gf' with the path where gf binary is located in your system.

$ alias gf='/User/levi/go/bin/gf'

$ cd ~/.gf/

Note : Paste JSON files(https://github.com/devanshbatham/ParamSpider/tree/master/gf_profiles) in ~/.gf/ folder

Now run ParamSpider and navigate to the output directory

$ gf redirect domain.txt //for potential open redirect/SSRF parameters

$ gf xss domain.txt //for potential xss vulnerable parameters

$ gf potential domain.txt //for xss + ssrf + open redirect parameters

$ gf wordpress domain.txt //for wordpress urls

[More GF profiles to be added in future]

工具使用样例

$ python3 paramspider.py --domain bugcrowd.com --exclude woff,css,js,png,svg,php,jpg --output bugcrowd.txt

注意事项：因为该工具将从Web文档数据中爬取参数，因此输出结果存在一定假阳性。

项目地址

ParamSpider：

【https://github.com/devanshbatham/ParamSpider】

本文参与腾讯云自媒体同步曝光计划，分享自微信公众号。

原始发表：2020-09-07，如有侵权请联系 cloudcommunity@tencent.com 删除

网站

php

本文分享自 FreeBuf 微信公众号，前往查看

如有侵权，请联系 cloudcommunity@tencent.com 删除。

本文参与腾讯云自媒体同步曝光计划，欢迎热爱写作的你一起参与！

网站

php

登录后参与评论

0 条评论

热度

如何使用ParamSpider在Web文档中搜索敏感参数

如何使用ParamSpider在Web文档中搜索敏感参数

ParamSpider

核心功能

工具安装&下载

工具使用选项

1 - 执行一次简单扫描任务[未使用—exclude参数]：

2 - 使用特定扩展名指定外部URL地址：

3 - 查询嵌套参数：

4 - 存储扫描数据：

5 - 使用自定义占位符文本（默认为“FYZZ”）：

6 - 使用静默模式（不在屏幕输出URL地址）：

7 - 排除特定子域名：

ParamSpider + GF

安装和配置命令如下：

工具使用样例

项目地址

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐