À propos

ZenBuster est un outil d'énumération d'URL multi-threadé et multiplateforme écrit en Python par Zach Griffin (@0xTas).

J'ai écrit cet outil pour approfondir ma familiarité avec Python et pour améliorer ma compréhension des outils de cybersécurité en général. ZenBuster n'est peut-être pas l'outil le plus rapide ou le plus complet de son genre. Il est cependant simple d'utilisation, raisonnablement flexible, et en pratique seulement marginalement plus lent que d'autres outils « éprouvés » comme Gobuster. Personnellement, je l'utilise pour m'aider à résoudre des défis CTF sur des plateformes comme TryHackMe, et j'ai trouvé mon implémentation suffisamment fiable.

Ce logiciel est destiné à être utilisé dans des défis CTF, ou par des professionnels de la sécurité pour recueillir des informations sur leurs cibles :

• Il est capable d'énumérer par force brute les sous-domaines ainsi que les ressources URI (répertoires/fichiers).
• Les deux méthodes d'énumération nécessitent l'utilisation d'une wordlist ou d'un fichier dictionnaire approprié.
• Fonctionnalités incluses :
  1. Le format du nom d'hôte prend en charge les formats standard, IPv4 et IPv6.
  2. Prise en charge de l'enregistrement des résultats dans un fichier avec -o [filename].
  3. Spécification de ports personnalisés pour des serveurs web non standard avec -p .
  4. Extensions de fichiers optionnelles en mode répertoire avec -x .
  5. Mode silencieux pour une sortie moins distrayante avec -q.
  6. La couleur peut être désactivée pour une sortie moins distrayante avec -nc / -nl.
  7. Ajouter à la liste des codes d'état HTTP à ignorer (par défaut 5xx, 404) avec -ic.
  8. Ignorer des longueurs de contenu de réponse spécifiques avec -fl.
  9. Testé sur les versions Python 3.10 et 3.11, avec un support théorique pour les versions >= 3.6

ATTENTION/AVERTISSEMENT

ZenBuster est capable de générer un nombre potentiellement indésirable de requêtes HTTP en peu de temps.

Les développeurs et contributeurs ne sont pas responsables des dommages causés par une mauvaise utilisation ou un abus de ce logiciel.

Veuillez énumérer de manière responsable !

Licence

ZenBuster est sous licence GNU GPLv3, voir ici pour plus d'informations.

Crédits

L'art ASCII Yin-Yang dans les bannières a été créé par Joan G. Stark (jgs) et Hayley Jane Wakenshaw (hjw). Des modifications ont été apportées par moi, lorsque spécifié avec : 'zg'.

---

Présentation

Page d'aide :

Mode répertoire :

Mode sous-domaine :

---

Installation

Tout d'abord, assurez-vous que Python version >= 3.6 est installé, puis clonez le dépôt avec :

git clone https://github.com/0xTas/zenbuster.git

Ensuite, cd zenbuster et, sous Linux : chmod +x zenbuster.py.

Dépendances

ZenBuster repose sur 3 bibliothèques externes pour fonctionner, et il est recommandé de les installer avec :

pip install -r requirements.txt

Les modules qui seront installés et leurs objectifs sont les suivants :

1. Python requests

   • La colonne vertébrale de chaque requête d'énumération. Sans cela, le script ne fonctionnera pas.

2. termcolor

   • Permet une sortie colorée dans le terminal. Non critique, le script peut toujours fonctionner sans couleur si ce n'est pas présent.

3. colorama (Windows uniquement)

   • Prépare le terminal Windows à accepter les codes couleur ANSI (de Termcolor). Non critique.

Ces dépendances peuvent être installées manuellement, avec pip en utilisant requirements.txt, ou via l'interaction avec le script lors de la première exécution.

---

Utilisation

Une fois les dépendances installées, vous pouvez exécuter le programme des manières suivantes :

Sous Linux (+Mac ?) :

./zenbuster.py [options] ou python3 zenbuster.py [options]

Sous Windows :

python zenbuster.py [options]

[Options]

Exemples d'utilisation

./zenbuster.py -d -w /usr/share/wordlists/dirb/common.txt -u target.thm -v

python3 zenbuster.py -w ../subdomains.txt --host target.thm --ssl -O myResults.log

zenbuster -w subdomains.txt -u target.thm --quiet -ic 400, 403 (Avec alias .bashrc)

---

Mise à jour

Mettre à jour ZenBuster est simple ! Il suffit de se déplacer dans le dossier d'installation (cd zenbuster) et git pull. C'est tout !

---

Fonctionnalités/Améliorations prévues

• Niveaux de verbosité optionnelle accrus.
• Permettre un ralentissement optionnel du nombre de threads de tâches.
• Permettre aux utilisateurs de modifier la liste des codes d'état ignorés. FAIT.
• Permettre un plus grand contrôle de l'utilisateur sur divers en-têtes de requête.
• Permettre l'ignorance optionnelle des réponses basées sur la longueur du contenu. FAIT.
• Étendre l'énumération des sous-domaines pour inclure des méthodes OSINT au lieu de simplement la force brute.
• Explorer une solution plus complète et lisible pour une sortie colorée (en utilisant peut-être rich).

---

Problèmes/Limitations connus

• L'énumération de longs points de terminaison peut entraîner un affichage disgracieux dans le terminal en raison du retour à la ligne dans les fenêtres de console plus petites. L'enregistrement dans un fichier est recommandé, surtout sous Windows.
• Si l'hôte cible est un vHost sur un serveur web partagé, l'énumération via IP peut ne pas fonctionner comme prévu. Utilisez un domaine/nom d'hôte à la place.
• Ignorer les codes d'état de redirection (3xx) avec -ic ne fonctionne pas si le code d'état à la fin du chemin de redirection n'est pas également ignoré.

---

Version

ZenBuster est actuellement à la version 1.3