强大的Web Fuzz测试工具-Wfuzz

介绍

Wfuzz是一个基于Python的Web爆破程序,它支持多种方法来测试WEB应用的漏洞。你可以审计参数、登录认证、GET/POST方式爆破的表单,并且可以发掘未公开的资源,比如目录、文件和头部之类的。

功能

可预测的认证

可预测的session标志(session id)

可预测的资源定位(目录和文件)

注入

路径遍历

溢出

跨站脚本

认证漏洞

不安全的直接对象引用

特性

参数

-c : Output with colors 带颜色输出

-v : Verbose information 版本信息

-o printer : Output format by stderr 格式化输出

-t N : Specify the number of threads (20 default) 线程

-s N : Specify time delay between requests (0 default) 超时时间

-d postdata : Use post data (ex: "id=FUZZ&catalogue=1") post数据包

--hc : 过滤状态码

--sc : 只显示状态码

使用

wfuzz -c -z file,/usr/share/wfuzz/wordlist/general/big.txt --hc 404 http://192.168.0.111:9090/FUZZ 目录扫描

wfuzz -c -z file,user.txt -z file,pass.txt -d "username=FUZZ&password=FUZ2Z" --sc=200 http://192.168.0.111:9090/glzx.php web表单爆破

根据长度可知admin:admin为账号密码。

  • 发表于:
  • 原文链接:http://kuaibao.qq.com/s/20180228G052GE00?refer=cp_1026
  • 腾讯「云+社区」是腾讯内容开放平台帐号(企鹅号)传播渠道之一,根据《腾讯内容开放平台服务协议》转载发布内容。

扫码关注云+社区

领取腾讯云代金券