Wfuzz - Il Web Fuzzer

Wfuzz è stato creato per facilitare il compito nelle valutazioni delle applicazioni web e si basa su un semplice concetto: sostituisce qualsiasi riferimento alla parola chiave FUZZ con il valore di un dato payload.

Un payload in Wfuzz è una fonte di dati.

Questo semplice concetto permette di iniettare qualsiasi input in qualsiasi campo di una richiesta HTTP, consentendo di eseguire complessi attacchi alla sicurezza web in diversi componenti delle applicazioni web come: parametri, autenticazione, form, directory/file, header, ecc.

Wfuzz è più di uno scanner di contenuti web:

• Wfuzz può aiutarti a proteggere le tue applicazioni web trovando e sfruttando vulnerabilità delle applicazioni web. Lo scanner di vulnerabilità delle applicazioni web di Wfuzz è supportato da plugin.

• Wfuzz è un framework completamente modulare e rende facile contribuire anche per il più inesperto degli sviluppatori Python. Creare plugin è semplice e richiede poco più di qualche minuto.

• Wfuzz espone una semplice interfaccia linguistica alle precedenti richieste/risposte HTTP eseguite utilizzando Wfuzz o altri strumenti, come Burp. Questo ti permette di eseguire test manuali e semi-automatici con pieno contesto e comprensione delle tue azioni, senza fare affidamento sull'implementazione sottostante di uno scanner di applicazioni web.

È stato creato per facilitare il compito nelle valutazioni delle applicazioni web, è uno strumento di pentester per pentester ;)

Installazione

Per installare WFuzz, usa semplicemente pip:

pip install wfuzz

Per eseguire Wfuzz da un'immagine docker, esegui:

$ docker run -v $(pwd)/wordlist:/wordlist/ -it ghcr.io/xmendez/wfuzz wfuzz

Documentazione

La documentazione è disponibile su http://wfuzz.readthedocs.io

Download

Controlla le release su GitHub. L'ultima è disponibile su https://github.com/xmendez/wfuzz/releases/latest