feroxbuster强制浏览工具介绍

  • A+
所属分类:安全工具

feroxbuster强制浏览工具介绍


功能:

feroxbuster是旨在执行强制浏览的工具。

强制浏览是一种攻击,其目的是枚举和访问Web应用程序未引用但仍可被攻击者访问的资源。

feroxbuster使用暴力结合字典在目标目录中搜索未链接的内容。这些资源可能存储有关Web应用程序和操作系统的敏感信息,例如源代码,凭据,内部网络地址等。

此攻击也称为可预测资源位置,文件枚举,目录枚举和资源枚举。

 

安装:

Windows:

Invoke-WebRequest https://github.com/epi052/feroxbuster/releases/latest/download/x86_64-windows-feroxbuster.exe.zip -OutFile feroxbuster.zip Expand-Archive .feroxbuster.zip .feroxbusterferoxbuster.exe -V

Linux:

curl -sL https://raw.githubusercontent.com/epi052/feroxbuster/master/install-nix.sh | bash

Kali:

下载该文件:https://github.com/epi052/feroxbuster/releases/latest/download/feroxbuster_amd64.deb.zipunzip -x feroxbuster_amd64.deb.zipdpkg -i feroxbuster_1.12.3_amd64.deb

配置:

ferox-config.toml是其配置文件

· /etc/feroxbuster/ (global)· CONFIG_DIR/feroxbuster/ (per-user)· The same directory as the feroxbuster executable (per-user)· The user's current working directory (per-target)

CONFIG_DIR 定义如下:

· Linux: $XDG_CONFIG_HOME or $HOME/.config i.e. /home/bob/.config· MacOs: $HOME/Library/Application Support i.e. /Users/bob/Library/Application Support· Windows: {FOLDERID_RoamingAppData} i.e. C:UsersBobAppDataRoaming

如果找到多个有效的配置文件,则每个文件将覆盖先前找到的值。

在实际工作中,我们更喜欢使用自己的字典,此时需要将配置文件中的值进行一下更改

# ferox-config.tomlwordlist = “ /wordlists/jhaddix/all.txt ”

注意将此处的值更改为你自己的字典名称,此处可以只制定要更改的之,无需对其他内容进行更改,此处的变量名称需要与命令行中使用的变量名称匹配。

值得注意的是在解析了可用的配置文件后,命令行上给出的任何选项/参数都将覆盖设置为内置或配置文件值的所有值。

 

命令行解析:

用法: feroxbuster [FLAGS] [OPTIONS] --url <URL>... FLAGS: -f, --add-slash 追加/到每个请求 -D, --dont-filter 不要自动过滤通配符响应 -e, --extract-links Extract links from response body (html, javascript, etc...); make new requests based on findings (default: false) -h, --help Prints help information -k, --insecure 禁用TLS证书验证 --json Emit JSON logs to --output and --debug-log instead of normal text -n, --no-recursion 不递归扫描 -q, --quiet 只输出url;不输出状态码,响应大小,运行配置等… -r, --redirects 遵循重定向 --stdin 从stdin读取url -V, --version 输出版本信息 -v, --verbosity 增加详细程度(使用-vv或更大的效果。[注意]4 -v可能太多) 参数: --debug-log <FILE> Output file to write log entries (use w/ --json for JSON entries) -d, --depth <RECURSION_DEPTH> 最大递归深度,深度为0表示无限递归(默认值:4) -x, --extensions <FILE_EXTENSION>... …要搜索的文件扩展名(例如:-x php -x pdf js) -N, --filter-lines <LINES>... Filter out messages of a particular line count (ex: -N 20 -N 31,30) -X, --filter-regex <REGEX>... 通过在响应体上匹配正则表达式过滤掉消息(例如:-X '^ignore me$') --filter-similar-to <UNWANTED_PAGE>... 过滤掉与给定页面相似的页面(例如——Filter -similar-to http://site.xyz/soft404) -S, --filter-size <SIZE>... 过滤掉特定大小的消息(例如:-S 5120 -S 4927,1970) -C, --filter-status <STATUS_CODE>... 过滤掉状态码(拒绝列表)(例如:-C 200 -C 401) -W, --filter-words <WORDS>... 过滤掉特定单词计数的消息(例如:- w312 - w91,82) -H, --headers <HEADER>... 指定HTTP报头(例如:-H报头:val 'stuff: things') -o, --output <FILE> 要写入结果的输出文件(json项使用w/——json -p, --proxy <PROXY> 用于请求的代理(例如:http(s)://host:port, socks5(h)://host:port) -Q, --query <QUERY>... 指定URL查询参数(例如:-Q token=stuff -Q secret=key) - r, replay-codes < REPLAY_CODE >… -R, --replay-codes <REPLAY_CODE>... 发现时通过重播代理发送的状态码(默认值:——Status - Codes值) -P, --replay-proxy <REPLAY_PROXY> 仅通过重播代理发送未过滤的请求,而不是所有请求 --resume-from <STATE_FILE> 要恢复部分完成扫描的状态文件(例如——resume-from ferox-1606586780.state) -L, --scan-limit <SCAN_LIMIT> 限制总并发扫描数(默认:0,即没有限制) -s, --status-codes <STATUS_CODE>... 要包含的状态码(允许列表)(默认值:200 204 301 302 307 308 401 403 405-t, --threads <THREADS> 并发线程数(默认为50) --time-limit <TIME_SPEC> 所有扫描的总运行时间(例如:——time- Limit 10m) -T, --timeout <SECONDS> 请求超时前的秒数(默认为7秒) -u, --url <URL>... 目标URL(必需的,除非使用——stdin) -a, --user-agent <USER_AGENT> 用户代理(默认:feroxbuster/VERSION-w, --wordlist <FILE> 密码字典的路径

用法示例:

feroxbuster强制浏览工具介绍

项目地址:

https://github.com/epi052/feroxbuster



关于我们:

北京路劲科技有限公司(Beijing Lujin Technology Co. , Ltd.)成立于2019年1月4日,是一家提供全面系统集成与信息安全解决方案的专业IT技术服务公司。公司秉承“为网络安全保驾护航”的企业愿景及“提升国家整体安全”的使命,依据风险评估模型和等级保护标准,采用大数据等技术手段,开展网络安全相关业务。公司致力于为各个行业的业务信息化提供软件和通用解决方案、系统架构,系统管理和数据安全服务、以及IT咨询规划、系统集成与系统服务等专业化服务。公司立足北京,走向全国,始终坚持“换位、细节、感恩”的核心价值观,以“共赢、共享、共成长”的经营理念为出发点,集合了一批敢于创新、充满活力、热衷于为IT行业服务的优秀人才,致力于成为您身边的网络安全专家。


关注路劲科技,关注网络安全!

公司:北京路劲科技有限公司

地址:北京市昌平区南邵镇双营西路78号院2号楼5层504


本文始发于微信公众号(LSCteam):feroxbuster强制浏览工具介绍

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: