Курируемый сообществом список шаблонов nuclei для поиска «неизвестных» уязвимостей безопасности.
Документация • Вклад • Обсуждение • Сообщество
[!Caution] Этот репозиторий архивирован и объединён с проектом nuclei-templates в каталоге .
/dastШаблоны фаззинга используются со сканером nuclei, который обеспечивает работу движка сканирования. Этот репозиторий содержит различные шаблоны фаззинга для сканера, предоставленные нашей командой, а также добавленные сообществом.
Мы приветствуем вклад сообщества через pull request или issues для расширения покрытия тестирования безопасности. В отличие от проекта nuclei-templates, который фокусируется на известных уязвимостях, шаблоны фаззинга специально предназначены для обнаружения ранее неизвестных уязвимостей в приложениях.
Перейдите на https://docs.projectdiscovery.io/templates/protocols/http/fuzzing-overview для получения подробной документации по созданию собственных шаблонов фаззинга. Мы также добавили набор шаблонов, чтобы помочь вам понять, как всё работает.
go install -v github.com/projectdiscovery/nuclei/v2/cmd/nuclei@latest
Текущая поддержка фаззинга ограничена URL-адресами с параметрами запроса, поэтому любые URL-адреса без параметров запроса будут просто проигнорированы.
$ cat fuzz_endpoints.txt
http://127.0.0.1:8082/info?name=test&another=value&random=data
http://127.0.0.1:8082/redirect?redirect_url=/info?name=redirected_from_url
http://127.0.0.1:8082/request?url=https://example.com
http://127.0.0.1:8082/email?text=important_user
http://127.0.0.1:8082/permissions?cmd=whoami
http://127.0.0.1:8082/info?name=redirected_from_url
[!NOTE] Вы можете использовать katana с фильтром URL-запросов (
-f qurl), чтобы получить список конечных точек для запуска шаблонов фаззинга URL-адресов
nuclei -list fuzz_endpoints.txt -dast
[!NOTE] Вы можете использовать существующие опции nuclei для фильтрации / запуска конкретных шаблонов dast по тегам или шаблонам
Возникли вопросы / сомнения / идеи для обсуждения? Не стесняйтесь открывать обсуждение на доске GitHub discussions.
Приглашаем вас присоединиться к активному Discord-сообществу, чтобы напрямую общаться с сопровождающими проекта и делиться с другими информацией о безопасности и автоматизации. Кроме того, вы можете подписаться на нас в Twitter, чтобы быть в курсе всего, что связано с Nuclei.
Ещё раз спасибо за ваш вклад и за то, что это сообщество остаётся активным. ❤️