VAF：高级Web模糊测试工具

关于VAF

VAF是一款功能强大的高级Web模糊测试工具，广大研究人员可以使用VAF来对Web应用程序进行模糊测试。

工具安装&编译

广大研究人员需要使用下列命令将该项目源码克隆至本地：

git clone https://github.com/d4rckh/vaf.git

接下来，我们需要从nim-long.org下载并安装nim：

nimble build

此时，我们的目录下将会创建出一个名为vaf.exe文件，接下来我们就可以直接双击并使用VAF了。

VAF使用

VAF的使用非常简单，下面给出的是当前版本VAF支持的功能选项：

Usage:
  vaf - very advanced fuzzer [options]

Options:
  -h, --help
  -u, --url=URL              选择URL，使用[]替换待模糊测试的位置
  -w, --wordlist=WORDLIST    选择需要使用的字典
  -sc, --status=STATUS        设置需要输出的状态码，设置为“any”将输出所有状态码（默认为200）
  -pr, --prefix=PREFIX        设置前缀（默认为空）
  -sf, --suffix=SUFFIX         设置后缀（默认为空）
  -pd, --postdata=POSTDATA   仅在设置了“-m post”时使用（默认为{}）
  -pif, --printifreflexive       仅输出映射在页面中的内容，可用于寻找XSS漏洞
  -ue, --urlencode           对Payload进行URL编码
  -pu, --printurl            打印请求的URL地址

工具运行截图

工具会输出所有页面返回的状态码以及后缀.php或.html，并且不会输出前缀信息。

工具会输出URL地址以及每一个页面返回的状态码，包含后缀.php或.html，并且不会输出前缀信息。

工具执行POST数据模糊测试。

工具使用样例

对POST数据进行模糊测试：

vaf.exe -w example_wordlistsshort.txt -u https://jsonplaceholder.typicode.com/posts -m post -sc 201 -pd "{"title": "[]"}"

对GET URL进行模糊测试：

vaf.exe -w example_wordlistsshort.txt -u https://example.org/[] -sf .html

工具提示

在suffixes或prefixes参数中添加一个尾随符，尝试不带任何后缀/前缀的单词，如：-pf.php或-sf.php。

使用-pif和一堆XSS Payload作为字典列表来查找XSS漏洞。

项目地址

VAF：https://github.com/d4rckh/vaf

本文始发于微信公众号（盾山实验室）：VAF：高级Web模糊测试工具