fuzzuli

प्रेरणा • पृष्ठभूमि • स्थापना • उपयोग • fuzzuli चलाना • टूल पेज

fuzzuli एक URL फ़ज़िंग टूल है जो डोमेन के आधार पर एक गतिशील वर्डलिस्ट बनाकर महत्वपूर्ण बैकअप फ़ाइलों को खोजने का लक्ष्य रखता है।

प्रेरणा

अपनी एप्लिकेशन सुरक्षा परीक्षण यात्रा में, जो मैं वर्षों से कर रहा हूँ, मुझे बाहरी रूप से सुलभ निर्देशिकाओं में रखी गई कई महत्वपूर्ण बैकअप फ़ाइलें मिलीं। इन फ़ाइलों का नामकरण करते समय, सामान्य पसंदीदा शब्दों का उपयोग किया गया था (जैसे backup.zip, db.rar, conf.tar.gz आदि)। हालाँकि, इनमें से अधिकांश फ़ाइलों का नाम उस डोमेन नाम का उपयोग करके रखा गया था जहाँ एप्लिकेशन स्थित था। मान लीजिए हमारे पास एक डोमेन पता fuzzuli.musana.net है। यदि डेवलपर सुलभ निर्देशिका में महत्वपूर्ण बैकअप फ़ाइलें रखता है, तो संभावित फ़ाइल नाम इस प्रकार होंगे।```raw fuzzuli.net.rar fuzzuli.net.zip fuzzuli.net.tar.gz ... other file compression extensions ... fuzzulinet.rar fuzzulinet.zip ... fuzzulimusana.rar fuzzulimusana.7z ... musana.fuzzuli.zip musanafuzzuli.rar ... so on ...

पारंपरिक वर्डलिस्ट दृष्टिकोण में इन फाइलों को ढूंढना संभव नहीं है।

# Background
इन फाइलों का नामकरण करते समय, डोमेन नाम को अक्सर संदर्भ के रूप में लिया जाता है। मुझे ऐसे परिदृश्य मिले हैं जहां इन फाइलों का नामकरण करते समय डोमेन में बिंदुओं को हटा दिया जाता है, स्वर अक्षरों को हटा दिया जाता है, या डोमेन नाम ज्यों का त्यों उपयोग किया जाता है। इस उपकरण को विकसित करते समय मैंने इसे ध्यान में रखा। इसलिए, डोमेन-आधारित वर्डलिस्ट बनाते समय, मैंने बिना बिंदुओं वाले, बिना स्वरों वाले, और बिना बिंदुओं एवं स्वरों दोनों के वेरिएंट लिए। फिर डोमेन बिंदुओं, स्वर अक्षरों, और बिंदु एवं स्वर अक्षर दोनों को हटाने के बाद निम्नलिखित फंक्शन से गुज़रता है।

यह **reverse method** में डोमेन को उलटने के बाद नीचे दिए गए फंक्शन से गुज़रता है।

**mixed method** प्रत्येक उपडोमेन की स्थिति बदलता है। फिर परिणाम नीचे दिए गए फंक्शन से गुज़रते हैं।

गणितीय समीकरण इस प्रकार है।

![](https://assets.kitploit.com/production/public/readmes/5473/1c2780201f7af736e6c58ea9dff33b8e535a2baa78b77abcb9b20c5a798b6cb6.png)


**shuffle method** केवल उपडोमेन को फेरबदल करता है और बिंदुओं, स्वर अक्षरों, और बिंदुओं एवं स्वर अक्षरों दोनों को हटाता है। यह डोमेन स्ट्रिंग में प्रत्येक वर्ण पर पुनरावृत्त नहीं करता है।


**fuzzuli** दो मुख्य भागों से मिलकर बना है। उनमें से एक गतिशील रूप से वर्डलिस्ट बनाता है। दूसरा HTTP अनुरोध भेजता है और बैकअप/संवेदनशील फ़ाइल के लिए प्रतिक्रिया की जाँच करता है।

**fuzzuli** का प्रवाह चार्ट निम्नलिखित है।

![flowchart](https://assets.kitploit.com/production/public/readmes/5473/aac877034a18ec30c4c81f27a524972a61dedf4cb23a2b2602eed5c80835c66f.png)




**fuzzuli** वर्डलिस्ट बनाने के लिए 7 विभिन्न विधियों का उपयोग कर रहा है। आइए `fuzzuli.musana.net` के परिणाम देखें।

## shuffle```bash
┌──(root㉿kali)-[/root/fuzzuli]
└─# echo https://fuzzuli.musana.net|fuzzuli -mt shuffle

418 संभावनाएँ दिखाएँ