ffuf v2.2.1
Fuzzer web rapide écrit en Go.
ffuf - Fuzz Faster U Fool
Un fuzzer web rapide écrit en Go.
Installation
-
Téléchargez un binaire précompilé depuis la page des releases, décompressez-le et exécutez-le !
ou
-
Si vous êtes sous Windows avec Scoop, ffuf peut être installé avec :
scoop install ffufou
-
Si vous êtes sous Windows avec Winget, ffuf peut être installé avec :
winget install ffuf.ffufou
-
Si vous êtes sous macOS avec homebrew, ffuf peut être installé avec :
brew install ffufou
-
Si vous avez un compilateur Go récent installé :
go install github.com/ffuf/ffuf/v2@latest(la même commande fonctionne pour la mise à jour)ou
-
git clone https://github.com/ffuf/ffuf ; cd ffuf ; go get ; go build
- Ffuf dépend de Go 1.20 ou supérieur.
- Une compilation Go à partir d'un checkout affiche
git-<date>-<commit>plutôt que le tag. Une compilation locale n'est pas une release officielle, même lorsque vous êtes sur un tag, et les informations de compilation intégrées de Go nous donnent le commit mais pas le nom du tag — nous affichons donc le commit exact à partir duquel il a été compilé. Les binaires versionnés faisant autorité sont ceux de la page des releases.
Exemples d'utilisation
Les exemples d'utilisation ci-dessous montrent les tâches les plus simples que vous pouvez accomplir avec ffuf.
Une documentation plus détaillée qui parcourt de nombreuses fonctionnalités avec beaucoup d'exemples est disponible dans le wiki ffuf à l'adresse https://github.com/ffuf/ffuf/wiki
Pour une documentation plus complète, avec des exemples d'utilisation réels et des astuces, n'hésitez pas à consulter l'excellent guide : « Everything you need to know about FFUF » de Michael Skelton (@codingo).
Vous pouvez également vous entraîner à vos scans ffuf contre un hôte en ligne avec différentes leçons et cas d'utilisation, soit localement en utilisant le conteneur docker https://github.com/adamtlangley/ffufme, soit contre la version hébergée en ligne à l'adresse http://ffuf.me créée par Adam Langley @adamtlangley.
Découverte typique de répertoires
En utilisant le mot-clé FUZZ à la fin de l'URL (-u) :
ffuf -w /path/to/wordlist -u https://target/FUZZ
Découverte de virtual hosts (sans enregistrements DNS)
En supposant que la taille de réponse du virtualhost par défaut est de 4242 octets, nous pouvons filtrer toutes les réponses de cette taille (-fs 4242) tout en fuzzant l'en-tête Host :
ffuf -w /path/to/vhost/wordlist -u https://target -H "Host: FUZZ" -fs 4242
Fuzzing de paramètres GET
Le fuzzing des noms de paramètres GET est très similaire à la découverte de répertoires, et fonctionne en définissant le mot-clé FUZZ comme une partie de l'URL. Cela suppose également une taille de réponse de 4242 octets pour un nom de paramètre GET invalide.
ffuf -w /path/to/paramnames.txt -u https://target/script.php?FUZZ=test_value -fs 4242
Si le nom du paramètre est connu, les valeurs peuvent être fuzzées de la même manière. Cet exemple suppose qu'une valeur de paramètre incorrecte renvoie le code de réponse HTTP 401.
ffuf -w /path/to/values.txt -u https://target/script.php?valid_name=FUZZ -fc 401
Fuzzing de données POST
C'est une opération très simple, encore une fois en utilisant le mot-clé FUZZ. Cet exemple ne fuzze qu'une partie de la requête POST. Nous filtrons à nouveau les réponses 401.
ffuf -w /path/to/postdata.txt -X POST -d "username=admin\&password=FUZZ" -u https://target/login.php -fc 401
Temps d'exécution maximal
Si vous ne voulez pas que ffuf s'exécute indéfiniment, vous pouvez utiliser -maxtime. Cela arrête tout le processus après un temps donné (en secondes).
ffuf -w /path/to/wordlist -u https://target/FUZZ -maxtime 60
Lorsque vous travaillez avec la récursivité, vous pouvez contrôler le maxtime par tâche en utilisant -maxtime-job. Cela arrêtera la tâche en cours après un temps donné (en secondes) puis passera à la suivante. De nouvelles tâches sont créées lorsque la fonctionnalité de récursivité détecte un sous-répertoire.
ffuf -w /path/to/wordlist -u https://target/FUZZ -maxtime-job 60 -recursion -recursion-depth 2
Il est également possible de combiner les deux drapeaux pour limiter à la fois le temps d'exécution maximal par tâche et le temps d'exécution global. Si vous n'utilisez pas la récursivité, les deux drapeaux se comportent de la même manière.
Utilisation d'un mutateur externe pour générer des cas de test
Pour cet exemple, nous allons fuzzer des données JSON envoyées via POST. Radamsa est utilisé comme mutateur.
Lorsque --input-cmd est utilisé, ffuf affichera les correspondances selon leur position. Cette même valeur de position sera disponible pour le programme appelé comme variable d'environnement $FFUF_NUM. Nous utiliserons cette valeur de position comme graine pour le mutateur. Les fichiers example1.txt et example2.txt contiennent des payloads JSON valides. Nous matchons toutes les réponses, mais nous filtrons le code de réponse 400 - Bad request :
ffuf --input-cmd 'radamsa --seed $FFUF_NUM example1.txt example2.txt' -H "Content-Type: application/json" -X POST -u https://ffuf.io.fi/FUZZ -mc all -fc 400
Il n'est bien sûr pas très efficace d'appeler le mutateur pour chaque payload, nous pouvons donc aussi pré-générer les payloads, en utilisant toujours Radamsa comme exemple :
# Generate 1000 example payloads
radamsa -n 1000 -o %n.txt example1.txt example2.txt
# This results into files 1.txt ... 1000.txt
# Now we can just read the payload data in a loop from file for ffuf
ffuf --input-cmd 'cat $FFUF_NUM.txt' -H "Content-Type: application/json" -X POST -u https://ffuf.io.fi/ -mc all -fc 400
Fichiers de configuration
Lors de l'exécution de ffuf, il vérifie d'abord si un fichier de configuration par défaut existe. Le chemin par défaut pour un fichier ffufrc est
$XDG_CONFIG_HOME/ffuf/ffufrc. Vous pouvez configurer une ou plusieurs options dans ce fichier, et elles seront appliquées à
chaque tâche ffuf ultérieure. Un exemple de fichier ffufrc peut être trouvé
ici.
Une description plus détaillée des emplacements des fichiers de configuration peut être trouvée dans le wiki : https://github.com/ffuf/ffuf/wiki/Configuration
Les options de configuration fournies en ligne de commande remplacent celles chargées depuis le fichier ffufrc par défaut.
Remarque : cela ne s'applique pas aux drapeaux CLI qui peuvent être fournis plus d'une fois. L'un de ces exemples est le drapeau -H (en-tête).
Dans ce cas, les valeurs -H fournies en ligne de commande seront ajoutées à celles du fichier de configuration à la place.
De plus, si vous souhaitez utiliser un ensemble de fichiers de configuration pour différents cas d'utilisation, vous pouvez le faire en définissant
le chemin du fichier de configuration à l'aide du drapeau de ligne de commande -config qui prend comme paramètre le chemin du fichier de
configuration.
Utilisation
Pour définir le cas de test pour ffuf, utilisez le mot-clé FUZZ n'importe où dans l'URL (-u), les en-têtes (-H), ou les données POST (-d).
Fuzz Faster U Fool - v2.1.0
HTTP OPTIONS:
-H Header `"Name: Value"`, separated by colon. Multiple -H flags are accepted.
-X HTTP method to use
-b Cookie data `"NAME1=VALUE1; NAME2=VALUE2"` for copy as curl functionality.
-cc Client cert for authentication. Client key needs to be defined as well for this to work
-ck Client key for authentication. Client certificate needs to be defined as well for this to work
-d POST data
-http2 Use HTTP2 protocol (default: false)
-ignore-body Do not fetch the response content. (default: false)
-r Follow redirects (default: false)
-raw Do not encode URI (default: false)
-recursion Scan recursively. Only FUZZ keyword is supported, and URL (-u) has to end in it. (default: false)
-recursion-depth Maximum recursion depth. (default: 0)
-recursion-strategy Recursion strategy: "default" for a redirect based, and "greedy" to recurse on all matches (default: default)
-replay-proxy Replay matched requests using this proxy.
-sni Target TLS SNI, does not support FUZZ keyword
-timeout HTTP request timeout in seconds. (default: 10)
-u Target URL
-x Proxy URL (SOCKS5 or HTTP). For example: http://127.0.0.1:8080 or socks5://127.0.0.1:8080
GENERAL OPTIONS:
-V Show version information. (default: false)
-ac Automatically calibrate filtering options (default: false)
-acc Custom auto-calibration string. Can be used multiple times. Implies -ac
-ach Per host autocalibration (default: false)
-ack Autocalibration keyword (default: FUZZ)
-acs Custom auto-calibration strategies. Can be used multiple times. Implies -ac
-c Colorize output. (default: false)
-config Load configuration from a file
-json JSON output, printing newline-delimited JSON records (default: false)
-maxtime Maximum running time in seconds for entire process. (default: 0)
-maxtime-job Maximum running time in seconds per job. (default: 0)
-noninteractive Disable the interactive console functionality (default: false)
-p Seconds of `delay` between requests, or a range of random delay. For example "0.1" or "0.1-2.0"
-rate Rate of requests per second (default: 0)
-s Do not print additional information (silent mode) (default: false)
-sa Stop on all error cases. Implies -sf and -se. (default: false)
-scraperfile Custom scraper file path
-scrapers Active scraper groups (default: all)
-se Stop on spurious errors (default: false)
-search Search for a FFUFHASH payload from ffuf history
-sf Stop when > 95% of responses return 403 Forbidden (default: false)
-t Number of concurrent threads. (default: 40)
-v Verbose output, printing full URL and redirect location (if any) with the results. (default: false)
MATCHER OPTIONS:
-mc Match HTTP status codes, or "all" for everything. (default: 200-299,301,302,307,401,403,405,500)
-ml Match amount of lines in response
-mmode Matcher set operator. Either of: and, or (default: or)
-mr Match regexp
-ms Match HTTP response size
-mt Match how many milliseconds to the first response byte, either greater or less than. EG: >100 or <100
-mw Match amount of words in response
FILTER OPTIONS:
-fc Filter HTTP status codes from response. Comma separated list of codes and ranges
-fl Filter by amount of lines in response. Comma separated list of line counts and ranges
-fmode Filter set operator. Either of: and, or (default: or)
-fr Filter regexp
-fs Filter HTTP response size. Comma separated list of sizes and ranges
-ft Filter by number of milliseconds to the first response byte, either greater or less than. EG: >100 or <100
-fw Filter by amount of words in response. Comma separated list of word counts and ranges
INPUT OPTIONS:
-D DirSearch wordlist compatibility mode. Used in conjunction with -e flag. (default: false)
-e Comma separated list of extensions. Extends FUZZ keyword.
-enc Encoders for keywords, eg. 'FUZZ:urlencode b64encode'
-ic Ignore wordlist comments (default: false)
-input-cmd Command producing the input. --input-num is required when using this input method. Overrides -w.
-input-num Number of inputs to test. Used in conjunction with --input-cmd. (default: 100)
-input-shell Shell to be used for running command
-mode Multi-wordlist operation mode. Available modes: clusterbomb, pitchfork, sniper (default: clusterbomb)
-request File containing the raw http request
-request-proto Protocol to use along with raw request (default: https)
-w Wordlist file path and (optional) keyword separated by colon. eg. '/path/to/wordlist:KEYWORD'
OUTPUT OPTIONS:
-debug-log Write all of the internal logging to the specified file.
-o Write output to file
-od Directory path to store matched results to.
-of Output file format. Available formats: json, ejson, html, md, csv, ecsv (or, 'all' for all formats) (default: json)
-or Don't create the output file if we don't have results (default: false)
EXAMPLE USAGE:
Fuzz file paths from wordlist.txt, match all responses but filter out those with content-size 42.
Colored, verbose output.
ffuf -w wordlist.txt -u https://example.org/FUZZ -mc all -fs 42 -c -v
Fuzz Host-header, match HTTP 200 responses.
ffuf -w hosts.txt -u https://example.org/ -H "Host: FUZZ" -mc 200
Fuzz POST JSON data. Match all responses not containing text "error".
ffuf -w entries.txt -u https://example.org/ -X POST -H "Content-Type: application/json" \
-d '{"name": "FUZZ", "anotherkey": "anothervalue"}' -fr "error"
Fuzz multiple locations. Match only responses reflecting the value of "VAL" keyword. Colored.
ffuf -w params.txt:PARAM -w values.txt:VAL -u https://example.org/?PARAM=VAL -mr "VAL" -c
More information and examples: https://github.com/ffuf/ffuf
Mode interactif
En appuyant sur ENTER pendant l'exécution de ffuf, le processus est mis en pause et l'utilisateur est placé dans un mode interactif de type shell :
entering interactive mode
type "help" for a list of commands, or ENTER to resume.
> help
available commands:
afc [value] - append to status code filter
fc [value] - (re)configure status code filter
afl [value] - append to line count filter
fl [value] - (re)configure line count filter
afw [value] - append to word count filter
fw [value] - (re)configure word count filter
afs [value] - append to size filter
fs [value] - (re)configure size filter
aft [value] - append to time filter
ft [value] - (re)configure time filter
rate [value] - adjust rate of requests per second (active: 0)
queueshow - show job queue
queuedel [number] - delete a job in the queue
queueskip - advance to the next queued job
restart - restart and resume the current ffuf job
resume - resume current ffuf job (or: ENTER)
show - show results for the current job
savejson [filename] - save current matches to a file
help - you are looking at it
>
dans ce mode, les filtres peuvent être reconfigurés, la file d'attente gérée et l'état actuel sauvegardé sur le disque.
Lors de la (re)configuration des filtres, ils sont appliqués a posteriori et toutes les correspondances faussement positives en mémoire qui auraient été filtrées par les filtres nouvellement ajoutés sont supprimées.
Le nouvel état des correspondances peut être affiché avec la commande show qui affichera toutes les correspondances comme si elles
avaient été trouvées par ffuf.
Comme les correspondances « négatives » ne sont pas stockées en mémoire, assouplir les filtres ne peut malheureusement pas faire revenir les correspondances perdues.
Pour ce genre de scénario, l'utilisateur peut utiliser la commande restart, qui réinitialise l'état et relance la tâche en cours depuis le début.
Contribution
Les rapports de bugs, les demandes de fonctionnalités et les pull requests sont les bienvenus. Consultez CONTRIBUTING.md pour commencer, et la section Contributing du wiki pour la documentation sur l'architecture et les tests.
Licence
ffuf est publié sous licence MIT. Voir LICENSE.