Über

ZenBuster ist ein multithreaded, plattformübergreifendes URL-Aufzählungstool, geschrieben in Python von Zach Griffin (@0xTas).

Ich habe dieses Tool geschrieben, um meine Vertrautheit mit Python zu vertiefen und mein Verständnis von Cybersecurity-Tools im Allgemeinen zu verbessern. ZenBuster mag nicht das schnellste oder umfassendste Tool seiner Art sein. Es ist jedoch einfach zu bedienen, recht flexibel und in der Praxis nur geringfügig langsamer als andere bewährte Tools wie Gobuster. Persönlich habe ich es verwendet, um CTF-Herausforderungen auf Plattformen wie TryHackMe zu lösen, und fand meine Implementierung zufriedenstellend zuverlässig.

Diese Software ist für den Einsatz in CTF-Herausforderungen oder von Sicherheitsexperten gedacht, um Informationen über ihre Ziele zu sammeln:

• Sie ist in der Lage, Subdomains sowie URI-Ressourcen (Verzeichnisse/Dateien) durch Brute-Force aufzuzählen.
• Beide Aufzählungsmethoden erfordern die Verwendung einer geeigneten Wortliste oder Wörterbuchdatei.
• Funktionen umfassen:
  1. Hostname-Format unterstützt Standard, IPv4 und IPv6.
  2. Unterstützung für das Protokollieren von Ergebnissen in eine Datei mit -o [dateiname].
  3. Angabe benutzerdefinierter Ports für nicht standardmäßige Webserver mit -p .
  4. Optionale Dateierweiterungen im Verzeichnismodus mit -x .
  5. Ruhiger Modus für weniger ablenkende Ausgabe mit -q.
  6. Farbe kann für weniger ablenkende Ausgabe mit -nc / -nl deaktiviert werden.
  7. Zur Liste der zu ignorierenden HTTP-Statuscodes hinzufügen (Standard 5xx, 404) mit -ic.
  8. Bestimmte Antwort-Content-Längen mit -fl ignorieren.
  9. Getestet auf Python-Versionen 3.10 und 3.11, mit theoretischer Unterstützung für Versionen >= 3.6

VORSICHT/HAFTUNGSAUSSCHLUSS

ZenBuster ist in der Lage, in kurzer Zeit eine potenziell unerwünschte Anzahl von HTTP-Anfragen zu erzeugen.

Die Entwickler und Mitwirkenden sind nicht haftbar oder verantwortlich für Schäden, die durch Missbrauch oder unsachgemäße Verwendung dieser Software entstehen.

Bitte zählen Sie verantwortungsvoll auf!

Lizenz

ZenBuster ist unter der GNU GPLv3-Lizenz lizenziert, siehe hier für weitere Informationen.

Credits

Yin-Yang-ASCII-Kunst in den Bannern wurde erstellt von Joan G. Stark (jgs) und Hayley Jane Wakenshaw (hjw). Änderungen wurden von mir vorgenommen, wenn mit 'zg' gekennzeichnet.

---

Vorführung

Hilfeseite:

Verzeichnisaufzählungsmodus:

Subdomain-Aufzählungsmodus:

---

Installation

Stellen Sie zunächst sicher, dass Python Version >= 3.6 installiert ist, und klonen Sie dann das Repository mit:

git clone https://github.com/0xTas/zenbuster.git

Wechseln Sie dann mit cd zenbuster in das Verzeichnis und, wenn Sie Linux verwenden, führen Sie chmod +x zenbuster.py aus.

Abhängigkeiten

ZenBuster benötigt 3 externe Bibliotheken, um zu funktionieren, und es wird empfohlen, diese mit folgendem Befehl zu installieren:

pip install -r requirements.txt

Die Module, die installiert werden, und ihre Zwecke sind wie folgt:

1. Python requests

   • Das Rückgrat jeder Aufzählungsanfrage. Ohne dieses Modul funktioniert das Skript nicht.

2. termcolor

   • Ermöglicht farbige Terminalausgabe. Nicht kritisch, das Skript kann auch ohne Farbe laufen, wenn dies nicht vorhanden ist.

3. colorama (nur Windows)

   • Bereitet das Windows-Terminal darauf vor, ANSI-Farbcodes (von Termcolor) zu akzeptieren. Nicht kritisch.

Diese Abhängigkeiten können manuell installiert werden, mit pip unter Verwendung von requirements.txt, oder durch Interaktion mit dem Skript beim ersten Start.

---

Verwendung

Sobald die Abhängigkeiten installiert sind, können Sie das Programm auf folgende Weise ausführen:

Unter Linux (+Mac?):

./zenbuster.py [optionen] oder python3 zenbuster.py [optionen]

Unter Windows:

python zenbuster.py [optionen]

[Optionen]

Beispielverwendung

./zenbuster.py -d -w /usr/share/wordlists/dirb/common.txt -u target.thm -v

python3 zenbuster.py -w ../subdomains.txt --host target.thm --ssl -O myResults.log

zenbuster -w subdomains.txt -u target.thm --quiet -ic 400, 403 (Mit .bashrc-Alias)

---

Aktualisierung

Die Aktualisierung von ZenBuster ist einfach! Wechseln Sie einfach in das Installationsverzeichnis (cd zenbuster) und führen Sie git pull aus. Das war's!

---

Geplante Funktionen/Verbesserungen

• Erhöhte Stufen optionaler Ausführlichkeit.
• Optionale Drosselung der Aufgabenthread-Anzahl ermöglichen.
• Ermöglicht Benutzern, die Liste der ignorierten Statuscodes zu ändern. ERLEDIGT.
• Größere Benutzerkontrolle über verschiedene Anfrageheader ermöglichen.
• Ermöglicht optionales Ignorieren von Antworten basierend auf der Content-Länge. ERLEDIGT.
• Subdomain-Aufzählung erweitern, um OSINT-Methoden anstelle von reinem Brute-Forcing einzuschließen.
• Eine umfassendere und quelllesbare Lösung für ausgefallene farbige Ausgabe erkunden (möglicherweise unter Verwendung von rich).

---

Bekannte Probleme/Einschränkungen

• Das Aufzählen langer Endpunkte kann aufgrund von Zeilenumbrüchen in kleineren Konsolenfenstern zu unschöner Terminalausgabe führen. Protokollierung in eine Datei wird empfohlen, insbesondere unter Windows.
• Wenn der Zielhost ein vHost auf einem gemeinsam genutzten Webserver ist, funktioniert die Aufzählung über IP möglicherweise nicht wie erwartet. Verwenden Sie stattdessen Domain/Hostname.
• Das Ignorieren von Weiterleitungs-Statuscodes (3xx) mit -ic funktioniert nicht, wenn der Statuscode am Ende des Weiterleitungspfads nicht ebenfalls ignoriert wird.

---

Version

ZenBuster ist derzeit in Version 1.3