Wfuzz - O Fuzzer Web

O Wfuzz foi criado para facilitar a tarefa em avaliações de aplicações web e baseia-se num conceito simples: substitui qualquer referência à palavra-chave FUZZ pelo valor de um payload fornecido.

Um payload no Wfuzz é uma fonte de dados.

Este conceito simples permite injetar qualquer entrada em qualquer campo de uma requisição HTTP, possibilitando realizar ataques complexos de segurança web em diferentes componentes de aplicações web, tais como: parâmetros, autenticação, formulários, diretórios/arquivos, cabeçalhos, etc.

O Wfuzz é mais do que um scanner de conteúdo web:

• O Wfuzz pode ajudá-lo a proteger suas aplicações web, encontrando e explorando vulnerabilidades de aplicações web. O scanner de vulnerabilidades de aplicações web do Wfuzz é suportado por plugins.

• O Wfuzz é uma framework completamente modular e facilita a contribuição até mesmo dos mais novos desenvolvedores Python. Construir plugins é simples e leva pouco mais do que alguns minutos.

• O Wfuzz expõe uma interface de linguagem simples para as requisições/respostas HTTP anteriores realizadas com o Wfuzz ou outras ferramentas, como o Burp. Isso permite realizar testes manuais e semiautomáticos com contexto total e compreensão de suas ações, sem depender da implementação subjacente de um scanner de aplicações web.

Foi criado para facilitar a tarefa em avaliações de aplicações web, é uma ferramenta feita por pentesters para pentesters ;)

Instalação

Para instalar o WFuzz, use simplesmente o pip:

pip install wfuzz

Para executar o Wfuzz a partir de uma imagem docker, execute:

$ docker run -v $(pwd)/wordlist:/wordlist/ -it ghcr.io/xmendez/wfuzz wfuzz

Documentação

A documentação está disponível em http://wfuzz.readthedocs.io

Download

Consulte os lançamentos do github. O mais recente está disponível em https://github.com/xmendez/wfuzz/releases/latest