koutto/web-brutator고속 모듈식 웹 인터페이스 무차별 대입 도구
빠른 모듈형 웹 인터페이스 무차별 대입 도구
python3 -m pip install -r requirements.txt
$ python3 web-brutator.py -h
__ __ ___. __________ __ __
/ \ / \ ____\_ |__ \______ \_______ __ ___/ |______ _/ |_ ___________
\ \/\/ // __ \| __ \ ______ | | _/\_ __ \ | \ __\__ \ __\ / _ \_ _ _\
\ /\ ___/| \_\ \ /_____/ | | \ | | \/ | /| | / __ \| | ( <_> ) | \/
\__/\ / \___ >___ / |______ / |__| |____/ |__| (____ /__| \____/|__|
\/ \/ \/ \/ \/
Version 0.2
usage: web-brutator.py [-h] [--url URL] [--target TYPE] [-u USERNAME]
[-U USERLIST] [-p PASSWORD] [-P PASSLIST]
[-C COMBOLIST] [-t THREADS] [-s] [-v] [-e MAX_ERRORS]
[--timeout TIMEOUT] [-l]
optional arguments:
-h, --help show this help message and exit
--url URL Target URL
--target TYPE Target type
-u, --username USERNAME Single username
-U, --userlist USERLIST Usernames list
-p, --password PASSWORD Single password
-P, --passlist PASSLIST Passwords list
-C, --combolist COMBOLIST Combos username:password list
-t, --threads THREADS Number of threads [1-50] (default: 10)
-s, --stoponsuccess Stop on success
-v, --verbose Print every tested creds
-e, --max-errors MAX_ERRORS Number of accepted consecutive errors (default: 10)
--timeout TIMEOUT Time limit on the response (default: 20s)
-l, --list-modules Display list of modules
예시:
python3 web-brutator.py --target jenkins --url https://mytarget.com -U ./usernames.txt -P ./passwords.txt -s -t 40
알림: 일부 제품(예: Weblogic, Tomcat...)은 기본적으로 일정 횟수 이상의 인증 실패 시 계정 잠금을 구현합니다.
web-brutator는 이러한 경우 무차별 대입 공격 시작 시 사용자에게 알립니다. 그러한 대상을 공격하기 전에 이 점을 고려하십시오.
web-brutator는 표준 웹 인증 양식을 자동으로 감지하고 무차별 대입을 자동으로 수행할 수 있습니다.
이 기능은 standardform 모듈을 통해 제공되며, 아직 실험적이고 여러 휴리스틱에 기반하므로 오탐/미탐이 발생할 수 있습니다.
지원되지 않음:
예시:
python3 web-brutator.py --target standardform --url https://mytarget.com -U ./usernames.txt -P ./passwords.txt -s -t 40 -v
이 데모는 phpMyAdmin 인터페이스를 대상으로 합니다
새 인증 무차별 대입 모듈을 추가하는 것은 매우 간단합니다:
lib/core/modules/ 아래에 적절한 이름의 새 파일을 생성합니다.lib/core/modules/ 아래의 예제를 참조하십시오. HTTP 요청은 다음에서 제공하는 정적 메서드를 통해 수행해야 합니다:
Requester 클래스: Requester.get(), Requester.post(), Requester.http_auth().#!/usr/bin/env python3
# -*- coding: utf-8 -*-
from lib.core.Exceptions import AuthException, RequestException
from lib.core.Logger import logger
from lib.core.Requester import AuthMode, Requester
class Mymodule:
def __init__(self, url, verbose=False):
self.url = url
# Other self variables can go here
def check(self):
"""
This method is used to detect the presence of the targeted authentication
interface.
:return: Boolean indicating if the authentication interface has been detected
"""
# Implement code here
def try_auth(self, username, password):
"""
This method is used to perform one authentication attempt.
:param str username: Username to check
:param str password: Password to check
:return: Boolean indicating authentication status
:raise AuthException:
"""
# Implement code here
-l 옵션으로 확인).