ffuf v2.2.1
Fuzzer web rápido escrito en Go
ffuf - Fuzz Faster U Fool
Un fuzzer web rápido escrito en Go.
Instalación
-
Descarga un binario precompilado desde la página de lanzamientos, descomprime y ejecuta.
o
-
Si estás en Windows con Scoop, ffuf se puede instalar con:
scoop install ffufo
-
Si estás en Windows con Winget, ffuf se puede instalar con:
winget install ffuf.ffufo
-
Si estás en macOS con homebrew, ffuf se puede instalar con:
brew install ffufo
-
Si tienes un compilador Go reciente instalado:
go install github.com/ffuf/ffuf/v2@latest(el mismo comando sirve para actualizar)o
-
git clone https://github.com/ffuf/ffuf ; cd ffuf ; go get ; go build
- Ffuf depende de Go 1.20 o superior.
- Una compilación de Go desde un checkout muestra
git-<date>-<commit>en lugar de la etiqueta. Una compilación local no es un lanzamiento oficial incluso si estás en una etiqueta, y la información de compilación embebida de Go nos da el commit pero no el nombre de la etiqueta — por lo que mostramos el commit exacto con el que se compiló. Los binarios versionados autoritativos son los de la página de lanzamientos.
Ejemplo de uso
Los ejemplos de uso a continuación muestran solo las tareas más simples que puedes realizar usando ffuf.
Documentación más detallada que cubre muchas características con muchos ejemplos está disponible en la wiki de ffuf en https://github.com/ffuf/ffuf/wiki
Para documentación más extensa, con ejemplos de uso reales y consejos, asegúrate de revisar la guía increíble: "Todo lo que necesitas saber sobre FFUF" de Michael Skelton (@codingo).
También puedes practicar tus escaneos de ffuf contra un host en vivo con diferentes lecciones y casos de uso, ya sea localmente usando el contenedor Docker https://github.com/adamtlangley/ffufme o contra la versión alojada en vivo en http://ffuf.me creada por Adam Langley @adamtlangley.
Descubrimiento típico de directorios
Usando la palabra clave FUZZ al final de la URL (-u):
ffuf -w /path/to/wordlist -u https://target/FUZZ
Descubrimiento de host virtual (sin registros DNS)
Suponiendo que el tamaño de respuesta del virtualhost predeterminado es 4242 bytes, podemos filtrar todas las respuestas de ese tamaño (-fs 4242) mientras fuzzeamos el encabezado Host:
ffuf -w /path/to/vhost/wordlist -u https://target -H "Host: FUZZ" -fs 4242
Fuzzing de parámetros GET
El fuzzing de nombres de parámetros GET es muy similar al descubrimiento de directorios, y funciona definiendo la palabra clave FUZZ como parte de la URL. Esto también asume un tamaño de respuesta de 4242 bytes para nombres de parámetros GET inválidos.
ffuf -w /path/to/paramnames.txt -u https://target/script.php?FUZZ=test_value -fs 4242
Si se conoce el nombre del parámetro, los valores pueden fuzzearse de la misma manera. Este ejemplo asume un valor de parámetro incorrecto que devuelve el código de respuesta HTTP 401.
ffuf -w /path/to/values.txt -u https://target/script.php?valid_name=FUZZ -fc 401
Fuzzing de datos POST
Esta es una operación muy sencilla, nuevamente usando la palabra clave FUZZ. Este ejemplo fuzzea solo una parte de la solicitud POST. De nuevo estamos filtrando las respuestas 401.
ffuf -w /path/to/postdata.txt -X POST -d "username=admin\&password=FUZZ" -u https://target/login.php -fc 401
Tiempo máximo de ejecución
Si no quieres que ffuf se ejecute indefinidamente, puedes usar -maxtime. Esto detiene todo el proceso después de un tiempo dado (en segundos).
ffuf -w /path/to/wordlist -u https://target/FUZZ -maxtime 60
Cuando trabajas con recursión, puedes controlar el maxtime por trabajo usando -maxtime-job. Esto detendrá el trabajo actual después de un tiempo dado (en segundos) y continuará con el siguiente. Se crean nuevos trabajos cuando la funcionalidad de recursión detecta un subdirectorio.
ffuf -w /path/to/wordlist -u https://target/FUZZ -maxtime-job 60 -recursion -recursion-depth 2
También es posible combinar ambas banderas limitando el tiempo máximo de ejecución por trabajo así como el tiempo total de ejecución. Si no usas recursión, ambas banderas se comportan igual.
Uso de mutador externo para generar casos de prueba
Para este ejemplo, fuzzearemos datos JSON que se envían mediante POST. Radamsa se utiliza como mutador.
Cuando se usa --input-cmd, ffuf mostrará las coincidencias según su posición. Este mismo valor de posición estará disponible para el llamado como una variable de entorno $FFUF_NUM. Usaremos este valor de posición como semilla para el mutador. Los archivos example1.txt y example2.txt contienen cargas útiles JSON válidas. Estamos comparando todas las respuestas, pero filtrando el código de respuesta 400 - Bad request:
ffuf --input-cmd 'radamsa --seed $FFUF_NUM example1.txt example2.txt' -H "Content-Type: application/json" -X POST -u https://ffuf.io.fi/FUZZ -mc all -fc 400
Por supuesto, no es muy eficiente llamar al mutador para cada carga útil, por lo que también podemos pregenerar las cargas útiles, aún usando Radamsa como ejemplo:
# Generate 1000 example payloads
radamsa -n 1000 -o %n.txt example1.txt example2.txt
# This results into files 1.txt ... 1000.txt
# Now we can just read the payload data in a loop from file for ffuf
ffuf --input-cmd 'cat $FFUF_NUM.txt' -H "Content-Type: application/json" -X POST -u https://ffuf.io.fi/ -mc all -fc 400
Archivos de configuración
Al ejecutar ffuf, primero verifica si existe un archivo de configuración predeterminado. La ruta predeterminada para un archivo ffufrc es $XDG_CONFIG_HOME/ffuf/ffufrc. Puedes configurar una o varias opciones en este archivo, y se aplicarán en cada trabajo posterior de ffuf. Un ejemplo de archivo ffufrc se puede encontrar aquí.
Una descripción más detallada sobre las ubicaciones de los archivos de configuración se puede encontrar en la wiki: https://github.com/ffuf/ffuf/wiki/Configuration
Las opciones de configuración proporcionadas en la línea de comandos anulan las cargadas desde el archivo ffufrc predeterminado.
Nota: esto no aplica para banderas de CLI que se pueden proporcionar más de una vez. Uno de esos ejemplos es la bandera -H (encabezado).
En este caso, los valores de -H proporcionados en la línea de comandos se añadirán a los del archivo de configuración.
Adicionalmente, en caso de que desees usar varios archivos de configuración para diferentes casos de uso, puedes hacerlo definiendo la ruta del archivo de configuración usando la bandera -config de la línea de comandos que toma la ruta del archivo de configuración como parámetro.
Uso
Para definir el caso de prueba para ffuf, usa la palabra clave FUZZ en cualquier parte de la URL (-u), encabezados (-H) o datos POST (-d).
Fuzz Faster U Fool - v2.1.0
HTTP OPTIONS:
-H Header `"Name: Value"`, separated by colon. Multiple -H flags are accepted.
-X HTTP method to use
-b Cookie data `"NAME1=VALUE1; NAME2=VALUE2"` for copy as curl functionality.
-cc Client cert for authentication. Client key needs to be defined as well for this to work
-ck Client key for authentication. Client certificate needs to be defined as well for this to work
-d POST data
-http2 Use HTTP2 protocol (default: false)
-ignore-body Do not fetch the response content. (default: false)
-r Follow redirects (default: false)
-raw Do not encode URI (default: false)
-recursion Scan recursively. Only FUZZ keyword is supported, and URL (-u) has to end in it. (default: false)
-recursion-depth Maximum recursion depth. (default: 0)
-recursion-strategy Recursion strategy: "default" for a redirect based, and "greedy" to recurse on all matches (default: default)
-replay-proxy Replay matched requests using this proxy.
-sni Target TLS SNI, does not support FUZZ keyword
-timeout HTTP request timeout in seconds. (default: 10)
-u Target URL
-x Proxy URL (SOCKS5 or HTTP). For example: http://127.0.0.1:8080 or socks5://127.0.0.1:8080
GENERAL OPTIONS:
-V Show version information. (default: false)
-ac Automatically calibrate filtering options (default: false)
-acc Custom auto-calibration string. Can be used multiple times. Implies -ac
-ach Per host autocalibration (default: false)
-ack Autocalibration keyword (default: FUZZ)
-acs Custom auto-calibration strategies. Can be used multiple times. Implies -ac
-c Colorize output. (default: false)
-config Load configuration from a file
-json JSON output, printing newline-delimited JSON records (default: false)
-maxtime Maximum running time in seconds for entire process. (default: 0)
-maxtime-job Maximum running time in seconds per job. (default: 0)
-noninteractive Disable the interactive console functionality (default: false)
-p Seconds of `delay` between requests, or a range of random delay. For example "0.1" or "0.1-2.0"
-rate Rate of requests per second (default: 0)
-s Do not print additional information (silent mode) (default: false)
-sa Stop on all error cases. Implies -sf and -se. (default: false)
-scraperfile Custom scraper file path
-scrapers Active scraper groups (default: all)
-se Stop on spurious errors (default: false)
-search Search for a FFUFHASH payload from ffuf history
-sf Stop when > 95% of responses return 403 Forbidden (default: false)
-t Number of concurrent threads. (default: 40)
-v Verbose output, printing full URL and redirect location (if any) with the results. (default: false)
MATCHER OPTIONS:
-mc Match HTTP status codes, or "all" for everything. (default: 200-299,301,302,307,401,403,405,500)
-ml Match amount of lines in response
-mmode Matcher set operator. Either of: and, or (default: or)
-mr Match regexp
-ms Match HTTP response size
-mt Match how many milliseconds to the first response byte, either greater or less than. EG: >100 or <100
-mw Match amount of words in response
FILTER OPTIONS:
-fc Filter HTTP status codes from response. Comma separated list of codes and ranges
-fl Filter by amount of lines in response. Comma separated list of line counts and ranges
-fmode Filter set operator. Either of: and, or (default: or)
-fr Filter regexp
-fs Filter HTTP response size. Comma separated list of sizes and ranges
-ft Filter by number of milliseconds to the first response byte, either greater or less than. EG: >100 or <100
-fw Filter by amount of words in response. Comma separated list of word counts and ranges
INPUT OPTIONS:
-D DirSearch wordlist compatibility mode. Used in conjunction with -e flag. (default: false)
-e Comma separated list of extensions. Extends FUZZ keyword.
-enc Encoders for keywords, eg. 'FUZZ:urlencode b64encode'
-ic Ignore wordlist comments (default: false)
-input-cmd Command producing the input. --input-num is required when using this input method. Overrides -w.
-input-num Number of inputs to test. Used in conjunction with --input-cmd. (default: 100)
-input-shell Shell to be used for running command
-mode Multi-wordlist operation mode. Available modes: clusterbomb, pitchfork, sniper (default: clusterbomb)
-request File containing the raw http request
-request-proto Protocol to use along with raw request (default: https)
-w Wordlist file path and (optional) keyword separated by colon. eg. '/path/to/wordlist:KEYWORD'
OUTPUT OPTIONS:
-debug-log Write all of the internal logging to the specified file.
-o Write output to file
-od Directory path to store matched results to.
-of Output file format. Available formats: json, ejson, html, md, csv, ecsv (or, 'all' for all formats) (default: json)
-or Don't create the output file if we don't have results (default: false)
EXAMPLE USAGE:
Fuzz file paths from wordlist.txt, match all responses but filter out those with content-size 42.
Colored, verbose output.
ffuf -w wordlist.txt -u https://example.org/FUZZ -mc all -fs 42 -c -v
Fuzz Host-header, match HTTP 200 responses.
ffuf -w hosts.txt -u https://example.org/ -H "Host: FUZZ" -mc 200
Fuzz POST JSON data. Match all responses not containing text "error".
ffuf -w entries.txt -u https://example.org/ -X POST -H "Content-Type: application/json" \
-d '{"name": "FUZZ", "anotherkey": "anothervalue"}' -fr "error"
Fuzz multiple locations. Match only responses reflecting the value of "VAL" keyword. Colored.
ffuf -w params.txt:PARAM -w values.txt:VAL -u https://example.org/?PARAM=VAL -mr "VAL" -c
More information and examples: https://github.com/ffuf/ffuf
Modo interactivo
Al presionar ENTER durante la ejecución de ffuf, el proceso se pausa y el usuario es llevado a un modo interactivo similar a un shell:
entering interactive mode
type "help" for a list of commands, or ENTER to resume.
> help
available commands:
afc [value] - append to status code filter
fc [value] - (re)configure status code filter
afl [value] - append to line count filter
fl [value] - (re)configure line count filter
afw [value] - append to word count filter
fw [value] - (re)configure word count filter
afs [value] - append to size filter
fs [value] - (re)configure size filter
aft [value] - append to time filter
ft [value] - (re)configure time filter
rate [value] - adjust rate of requests per second (active: 0)
queueshow - show job queue
queuedel [number] - delete a job in the queue
queueskip - advance to the next queued job
restart - restart and resume the current ffuf job
resume - resume current ffuf job (or: ENTER)
show - show results for the current job
savejson [filename] - save current matches to a file
help - you are looking at it
>
en este modo, los filtros se pueden reconfigurar, la cola gestionar y el estado actual guardar en disco.
Al (re)configurar los filtros, se aplican póstumamente y todas las coincidencias falsas positivas en memoria que habrían sido filtradas por los nuevos filtros se eliminan.
El nuevo estado de coincidencias se puede imprimir con el comando show que imprimirá todas las coincidencias como si hubieran sido encontradas por ffuf.
Como las coincidencias "negativas" no se almacenan en memoria, desafortunadamente relajar los filtros no puede recuperar las coincidencias perdidas.
Para este tipo de escenario, el usuario puede usar el comando restart, que restablece el estado y comienza el trabajo actual desde el principio.
Contribuir
Los informes de errores, solicitudes de funciones y pull requests son bienvenidos. Consulta CONTRIBUTING.md para empezar, y la sección de Contribución de la wiki para la documentación de arquitectura y pruebas.
Licencia
ffuf se publica bajo la licencia MIT. Consulta LICENSE.