[!WARNING] セキュリティ通知 – ドメインのなりすまし

ドメイン feroxbuster.com は、本プロジェクト、そのメンテナー、および公式の feroxbuster リリースとは一切関係がありません。

公式の feroxbuster ダウンロードは以下のみから配布されています：

https://github.com/epi052/feroxbuster (オープンソース)

https://www.feroxbuster.pro (商用)

この README に記載されたパッケージリポジトリ

インストールドキュメントに記載されたパッケージリポジトリ

当プロジェクトは feroxbuster.com からソフトウェアを配布しておらず、そちらでホストされているファイルの信頼性や安全性について保証できません。 feroxbuster を上記以外のドメインからダウンロードした場合は、削除して公式ソースから再インストールすることを強くお勧めします。

Rust で書かれたシンプルで高速な再帰的コンテンツ発見ツール

demo

[!TIP] ドキュメントが移転しました！ — 以前は1300行の README.md（すみません…）でしたが、feroxbuster のドキュメントは GitHub Pages に移行しました。Pages でドキュメントをホストすることで、探している情報がはるかに見つけやすくなったはずです。クイックスタート以上の情報が必要な場合は、そちらをご確認ください。

完全なドキュメントを見る →

ferox ってそもそも何？

ferox は酸化第二鉄（Ferric Oxide）の略です。酸化第二鉄は簡単に言うと錆（さび）のことです。rustbuster という名前は既に使われていたので、このバリエーションにしました。

で、何をするの？

feroxbuster は強制ブラウジングを実行するために設計されたツールです。

強制ブラウジングは、Web アプリケーションからは参照されていないものの攻撃者がアクセス可能なリソースを列挙・アクセスすることを目的とした攻撃です。

feroxbuster は単語リストと組み合わせたブルートフォースを使って、対象ディレクトリ内のリンクされていないコンテンツを検索します。これらのリソースには、ソースコード、認証情報、内部ネットワークアドレスなど、Web アプリケーションや運用システムに関する機密情報が格納されている可能性があります。

この攻撃は、予測可能なリソース位置、ファイル列挙、ディレクトリ列挙、リソース列挙とも呼ばれます。

クイックスタート

このセクションでは、feroxbuster の使用を開始するための最小限の情報を説明します。より詳細な情報はドキュメントをご参照ください。そちらの方がはるかに包括的です。

インストール

他にも多数のインストール方法がありますが、以下のスニペットでほとんどのユーザーをカバーできるはずです。

Kali

Kali を使用している場合、これが推奨されるインストール方法です。リポジトリからインストールすると、/etc/feroxbuster/ に ferox-config.toml が追加され、bash、fish、zsh のコマンド補完が追加され、man ページエントリが含まれ、feroxbuster 自体もインストールされます。``` sudo apt update && sudo apt install -y feroxbuster

#### Linux (32 and 64-bit) および MacOS

特定のディレクトリにインストールする```
curl -sL https://raw.githubusercontent.com/epi052/feroxbuster/main/install-nix.sh | bash -s $HOME/.local/bin

カレントワーキングディレクトリにインストール``` curl -sL https://raw.githubusercontent.com/epi052/feroxbuster/main/install-nix.sh | bash

#### Homebrew経由のMacOS```
brew install feroxbuster

Windows x86_64```

Invoke-WebRequest https://github.com/epi052/feroxbuster/releases/latest/download/x86_64-windows-feroxbuster.exe.zip -OutFile feroxbuster.zip Expand-Archive .\feroxbuster.zip .\feroxbuster\feroxbuster.exe -V

#### Winget経由のWindows```
winget install epi052.feroxbuster

Windows での Chocolatey```

choco install feroxbuster

#### その他

[ドキュメント](https://epi052.github.io/feroxbuster-docs/overview)を参照してください。

### feroxbusterの更新 (v2.9.1での新機能)```
./feroxbuster --update

使用例

ここでは、すぐに始めるための簡単な例をいくつか紹介します。なお、feroxbusterは以下に挙げるものよりはるかに多くの機能を備えています。そのため、特定の機能を強調したデモGIF付きのさらに多くの例がドキュメントにあります。

複数の値

複数の値を受け取るオプションは非常に柔軟です。拡張子を指定する以下の方法を考えてみましょう:``` ./feroxbuster -u http://127.1 -x pdf -x js,html -x php txt json,docx

上記のコマンドは、各URLに.pdf、.js、.html、.php、.txt、.json、.docxを追加します。

上記のすべての方法（複数のフラグ、スペース区切り、カンマ区切りなど）は有効であり、互換性があります。同じことがURL、ヘッダー、ステータスコード、クエリ、サイズフィルターについても当てはまります。

### ヘッダーを含める```
./feroxbuster -u http://127.1 -H Accept:application/json "Authorization: Bearer {token}"

IPv6、非再帰スキャン（INFOレベルのログ出力を有効化）```

./feroxbuster -u http://[::1] --no-recursion -vv

### STDINからURLを読み取り; 結果のURLのみを別のツールにパイプで渡す```
cat targets | ./feroxbuster --stdin --silent -s 200 301 302 --redirects -x js | fff -s 200 -o js-files

Burpを介したトラフィックのプロキシ```

./feroxbuster -u http://127.1 --insecure --proxy http://127.0.0.1:8080

### SOCKSプロキシを介したトラフィックのプロキシ（DNSルックアップを含む）```
./feroxbuster -u http://127.1 --proxy socks5h://127.0.0.1:9050

クエリパラメータを介して認証トークンを渡す```

./feroxbuster -u http://127.1 --query token=0123456789ABCDEF

### ボディのContent-Typeを--data-jsonや--data-urlencodedで自動設定する```
./feroxbuster -u http://127.1 --data-json '{"some": "payload"}'
./feroxbuster -u http://127.1 --data-json @payload.json
./feroxbuster -u http://127.1 --data-urlencoded 'some=payload'
./feroxbuster -u http://127.1 --data-urlencoded @file.payload

[!TIP] 実は、このREADMEには以前1300行以上ありましたが、すべて新しいドキュメントサイトに移動しました。ぜひご確認ください！

完全なドキュメントを見る →

人気

feroxbuster