ffuf 吉祥物

ffuf - 更快地模糊测试，你这个傻瓜

一个用 Go 编写的快速 Web 模糊测试工具。

安装

从发布页面下载预编译二进制文件，解压并运行！

或
如果你在 Windows 上并使用 Scoop，可以通过以下命令安装 ffuf：scoop install ffuf

或
如果你在 Windows 上并使用 Winget，可以通过以下命令安装 ffuf：winget install ffuf.ffuf

或
如果你在 macOS 上并使用 homebrew，可以通过以下命令安装 ffuf：brew install ffuf

或
如果你安装了较新的 go 编译器：go install github.com/ffuf/ffuf/v2@latest（同样的命令也适用于更新）

或
git clone https://github.com/ffuf/ffuf ; cd ffuf ; go get ; go build

ffuf 依赖 Go 1.20 或更高版本。
从检出版本进行的 go 构建会显示 git-<date>-<commit> 而不是标签。即使你正好位于某个标签上，本地构建也不是官方发布，而且 Go 的内嵌构建信息只会提供提交哈希而不会提供标签名——因此我们会展示构建时所用的确切提交。权威的版本化二进制文件是发布页面上的那些。

示例用法

下面的用法示例仅展示了使用 ffuf 可以完成的最简单任务。

包含大量示例并详细介绍众多功能的更完整文档可在 ffuf wiki 中找到：https://github.com/ffuf/ffuf/wiki

如需更全面的文档、真实使用示例和技巧，请务必查看由 Michael Skelton（@codingo）撰写的优秀指南： "Everything you need to know about FFUF"。

你还可以针对在线主机练习 ffuf 扫描，其中包含不同的课程和用例：既可以在本地使用 docker 容器 https://github.com/adamtlangley/ffufme，也可以使用由 Adam Langley（@adamtlangley）创建的在线托管版本 http://ffuf.me。

典型目录发现

通过在 URL（-u）末尾使用 FUZZ 关键字：

ffuf -w /path/to/wordlist -u https://target/FUZZ

虚拟主机发现（无 DNS 记录）

假设默认虚拟主机的响应大小为 4242 字节，我们可以在对 Host 请求头进行模糊测试时过滤掉所有该大小的响应（-fs 4242）：

ffuf -w /path/to/vhost/wordlist -u https://target -H "Host: FUZZ" -fs 4242

GET 参数模糊测试

GET 参数名模糊测试与目录发现非常相似，通过将 FUZZ 关键字定义为 URL 的一部分来工作。这里同样假设无效 GET 参数名的响应大小为 4242 字节。

ffuf -w /path/to/paramnames.txt -u https://target/script.php?FUZZ=test_value -fs 4242

如果参数名已知，则可以用相同方式对参数值进行模糊测试。此示例假设错误的参数值会返回 HTTP 响应码 401。

ffuf -w /path/to/values.txt -u https://target/script.php?valid_name=FUZZ -fc 401

POST 数据模糊测试

这是一项非常直接的操作，同样使用 FUZZ 关键字。此示例仅对 POST 请求的一部分进行模糊测试。我们再次过滤掉 401 响应。

ffuf -w /path/to/postdata.txt -X POST -d "username=admin\&password=FUZZ" -u https://target/login.php -fc 401

最大执行时间

如果你不想让 ffuf 无限期运行，可以使用 -maxtime。它会在指定时间（秒）后停止__整个__进程。

ffuf -w /path/to/wordlist -u https://target/FUZZ -maxtime 60

使用递归时，你可以通过 -maxtime-job 控制__每个任务__的 maxtime。它会在指定时间（秒）后停止当前任务并继续下一个任务。当递归功能检测到子目录时，会创建新任务。

ffuf -w /path/to/wordlist -u https://target/FUZZ -maxtime-job 60 -recursion -recursion-depth 2

也可以同时使用这两个标志，限制每个任务的最大执行时间以及总体执行时间。如果不使用递归，那么这两个标志的行为相同。

使用外部变异器生成测试用例

在此示例中，我们将对通过 POST 发送的 JSON 数据进行模糊测试。Radamsa 用作变异器。

使用 --input-cmd 时，ffuf 会以位置号显示匹配项。该位置值将作为环境变量 $FFUF_NUM 提供给被调用者。我们将使用该位置值作为变异器的种子。文件 example1.txt 和 example2.txt 包含有效的 JSON 载荷。我们匹配所有响应，但过滤掉响应码 400 - Bad request：

ffuf --input-cmd 'radamsa --seed $FFUF_NUM example1.txt example2.txt' -H "Content-Type: application/json" -X POST -u https://ffuf.io.fi/FUZZ -mc all -fc 400

当然，为每个载荷调用变异器效率不高，因此我们也可以预先生成载荷，这里仍以 Radamsa 为例：

# Generate 1000 example payloads
radamsa -n 1000 -o %n.txt example1.txt example2.txt

# This results into files 1.txt ... 1000.txt
# Now we can just read the payload data in a loop from file for ffuf

ffuf --input-cmd 'cat $FFUF_NUM.txt' -H "Content-Type: application/json" -X POST -u https://ffuf.io.fi/ -mc all -fc 400

配置文件

运行 ffuf 时，它首先检查是否存在默认配置文件。ffufrc 文件的默认路径是 $XDG_CONFIG_HOME/ffuf/ffufrc。你可以在此文件中配置一个或多个选项，它们将应用于之后的每个 ffuf 任务。可以在此处找到 ffufrc 文件的示例。

关于配置文件位置的更详细说明可以在 wiki 中找到： https://github.com/ffuf/ffuf/wiki/Configuration

命令行提供的配置选项会覆盖从默认 ffufrc 文件加载的选项。注意：这不适用于可以多次提供的 CLI 标志，-H（请求头）标志就是这样的例子。在这种情况下，命令行提供的 -H 值将_追加_到配置文件中的值之后。

此外，如果你希望针对不同用例使用大量配置文件，可以通过 -config 命令行标志指定配置文件路径来实现，该标志以配置文件路径作为参数。

用法

要为 ffuf 定义测试用例，请在 URL（-u）、请求头（-H）或 POST 数据（-d）中的任意位置使用关键字 FUZZ。

Fuzz Faster U Fool - v2.1.0

HTTP OPTIONS:
  -H                  Header `"Name: Value"`, separated by colon. Multiple -H flags are accepted.
  -X                  HTTP method to use
  -b                  Cookie data `"NAME1=VALUE1; NAME2=VALUE2"` for copy as curl functionality.
  -cc                 Client cert for authentication. Client key needs to be defined as well for this to work
  -ck                 Client key for authentication. Client certificate needs to be defined as well for this to work
  -d                  POST data
  -http2              Use HTTP2 protocol (default: false)
  -ignore-body        Do not fetch the response content. (default: false)
  -r                  Follow redirects (default: false)
  -raw                Do not encode URI (default: false)
  -recursion          Scan recursively. Only FUZZ keyword is supported, and URL (-u) has to end in it. (default: false)
  -recursion-depth    Maximum recursion depth. (default: 0)
  -recursion-strategy Recursion strategy: "default" for a redirect based, and "greedy" to recurse on all matches (default: default)
  -replay-proxy       Replay matched requests using this proxy.
  -sni                Target TLS SNI, does not support FUZZ keyword
  -timeout            HTTP request timeout in seconds. (default: 10)
  -u                  Target URL
  -x                  Proxy URL (SOCKS5 or HTTP). For example: http://127.0.0.1:8080 or socks5://127.0.0.1:8080

ffuf v2.2.1