uro

Utiliser une liste d'URLs pour les tests de sécurité peut être pénible car il y a beaucoup d'URLs avec du contenu inintéressant/dupliqué ; uro vise à résoudre cela.

Il n'effectue aucune requête http vers les URLs et supprime :

• les URLs incrémentales par ex. /page/1/ et /page/2/
• les articles de blog et contenus rédactionnels similaires par ex. /posts/a-brief-history-of-time
• les URLs avec le même chemin mais des valeurs de paramètres différentes par ex. /page.php?id=1 et /page.php?id=2
• les images, js, css et autres fichiers « inutiles »

Installation

La méthode recommandée pour installer uro est la suivante :

pipx install uro

Remarque : Si vous utilisez une version plus ancienne de python, utilisez pip au lieu de pipx

Utilisation de base

Le moyen le plus rapide d'intégrer uro dans votre flux de travail est de lui fournir des données via stdin et de les afficher dans votre terminal.

cat urls.txt | uro

Utilisation avancée

Lire les URLs depuis un fichier (-i/--input)

uro -i input.txt

Écrire les URLs dans un fichier (-o/--output)

Si le fichier existe déjà, uro n'écrasera pas son contenu. Sinon, il créera un nouveau fichier.

uro -i input.txt -o output.txt

Liste blanche (-w/--whitelist)

uro ignorera toutes les autres extensions sauf celles fournies.

uro -w php asp html

Remarque : Les pages sans extension, par ex. /books/1, seront toujours incluses. Pour les supprimer également, utilisez --filter hasext.

Liste noire (-b/--blacklist)

uro ignorera les extensions données.

uro -b jpg png js pdf

Remarque : uro a une liste d'extensions « inutiles » qu'il supprime par défaut ; cette liste sera remplacée par toutes les extensions que vous fournissez via l'option de liste noire. Les pages sans extension, par ex. /books/1, seront toujours incluses. Pour les supprimer également, utilisez --filter hasext.

Filtres (-f/--filters)

Pour un contrôle fin, uro prend en charge les filtres suivants :

1. hasparams : afficher uniquement les URLs qui ont des paramètres de requête, par ex. http://example.com/page.php?id=
2. noparams : afficher uniquement les URLs sans paramètres de requête, par ex. http://example.com/page.php
3. hasext : afficher uniquement les URLs avec une extension, par ex. http://example.com/page.php
4. noext : afficher uniquement les URLs sans extension, par ex. http://example.com/page
5. allexts : ne supprimer aucune page en fonction de l'extension, par ex. conserver .jpg qui serait autrement supprimé
6. keepcontent : conserver le contenu rédactionnel, par ex. les blogs.
7. keepslash : ne pas supprimer la barre oblique finale des URLs, par ex. http://example.com/page/
8. vuln : afficher uniquement les URLs avec des paramètres connus pour être vulnérables. Plus d'infos.

Exemple : uro --filters hasexts hasparams