
ماسح عناوين أدلة ويب عنيف متعدد الخيوط ومتكرر عبر HTTP/2.
أداة مسح سريعة، متعددة الخيوط، متكررة، لقوائم الدلائل على الويب عبر HTTP/2 باستخدام hyper، مستوحاة من Gobuster.
يتطلب Python 3.6.
تحتاج فقط إلى تثبيت تابع واحد. إذا لم يكن لديك hyper، قم بتشغيل:
pip3 install -r requirements.txt
usage: h2buster.py [-h] -w wordlist -u target [-c connections=8]
[-t threads=20] [-m http_method=HEAD]
[-r directory_depth=2] [-hd header_list]
[-x extension_list] [-b http_code_list] [-l] [-vr] [-wc]
[-rb] [-nc]
h2buster: أداة مسح قوائم الدلائل على الويب عبر HTTP/2.
الوسائط:
-h, --help يعرض رسالة المساعدة هذه ويخرج.
-w wordlist قائمة الكلمات للدلائل
-u target عنوان URL/IP الهدف ([scheme://]host[:port]).
المنفذ الافتراضي هو 443 مع تمكين HTTPS. لتحديد خلاف ذلك،
استخدم ':port' و/أو 'http://' (عندها سيكون المنفذ الافتراضي 80).
-c connections=8 عدد اتصالات HTTP/2.
-t threads=20 عدد الخيوط لكل اتصال.
-m http_method=HEAD طريقة طلب HTTP. القيم المسموح بها هي GET، HEAD.
-r directory_depth=2 أقصى عمق تكرار للدليل. الحد الأدنى هو 1،
غير محدود هو 0.
-hd header_list قائمة بالترويسات بالتنسيق
'header->value|header->value...'. على سبيل المثال: -hd
'user-agent->Mozilla/5.0|accept-encoding->gzip,
deflate, br'.
-x extension_list قائمة بامتدادات الملفات للتحقق منها مفصولة بخط عمودي (|).
على سبيل المثال، -x '.php|.js|blank|/'.
الكلمة المفتاحية 'blank' تعني عدم وجود امتداد.
الامتدادات الافتراضية هي '/'، 'blank'، '.html'، '.php'
-b http_code_list قائمة بأكواد الاستجابة المحظورة مفصولة بخط عمودي (|).
لن تظهر الدلائل ذات أكواد الاستجابة هذه في المخرجات.
الافتراضي هو 404.
-l علم: إظهار طول الاستجابة في المخرجات. يتجاوز هذا
طريقة الطلب إلى GET.
-vr علم: فرض التحقق من شهادة TLS.
-wc علم: طلب مسار عشوائي وتحليل الاستجابة لاكتشاف
الإيجابيات الكاذبة (معالجة أحرف البدل).
-rb علم: مسح بحثًا عن ملف robots.txt. إذا تم العثور عليه،
سيتم عرض موجه يسأل عما إذا كنت تريد استخدام النتائج.
-nc علم: تعطيل النص الملون في المخرجات.
$ python3 h2buster.py -w test/small.txt -u www.google.com -c4 -t15 -m GET -x 'blank|/' -r1 -hd 'user-agent->h2buster' -b '404|301'
سيقوم هذا بمسح www.google.com، عبر 4 اتصالات مع 15 خيطًا لكل منها، بإجراء طلبات GET على قائمة الكلمات المدخلة small.txt. سيتم إرسال كل إدخال في قائمة الكلمات كما هو، بالإضافة إلى إضافة شرطة مائلة (/) إليه. لن يتم مسح الدلائل التي تم العثور عليها بشكل متكرر (العمق هو 1). سيتم إرسال السلسلة h2buster كعامل مستخدم. لن يتم عرض أكواد الاستجابة 404 و 301 في المخرجات.
راجع ملف TODO للحصول على قائمة بالميزات التي تحتاج إلى عمل.