WebCopilot

一款自动化工具，用于枚举子域名，过滤出XSS、SQLi、开放重定向、LFI、SSRF和RCE参数，然后扫描漏洞。

特性 • 安装 • 用法 • 运行 WebCopilot • 使用的工具 • 致谢

---

WebCopilot 是一款自动化工具，旨在枚举目标的子域名，并使用不同的开源工具检测漏洞。

该脚本首先使用 assetfinder、sublister、subfinder、amass、findomain、hackertarget、riddler 和 crt.sh 枚举给定目标域名的所有子域名，然后使用 gobuster 和 SecLists 字典进行活跃子域名枚举，接着使用 dnsx 过滤出所有活跃的子域名，再通过 httpx 提取子域名的标题，并使用 subjack 扫描子域名接管。随后，它使用 gau/gauplus、waybackurls 或 waymore 爬取所有端点，然后使用 gf 模式过滤出给定子域名中的 XSS、LFI、SSRF、SQLi、开放重定向和 RCE 参数，最后使用不同的开源工具（如 kxss、dalfox、openredirex、nuclei 等）扫描这些子域名上的漏洞。扫描结果会打印出来，并保存到指定目录。

特性

• 使用 assetfinder、SUBLIST3R_V2.0、subfinder、amass、findomain 等进行子域名枚举。
• 使用 gobuster 和 amass 结合 SecLists/DNS 字典进行活跃子域名枚举。
• 使用 aquatone 和 httpx 提取活跃子域名的标题并截图。
• 使用 waymore 爬取所有子域名端点，并使用 gf patterns 过滤出 XSS、SQLi、SSRF 等参数。
• 运行不同的开源工具（如 dalfox、nuclei、sqlmap 等）搜索这些参数中的漏洞，并将所有输出保存到文件夹中。

用法

g!2m0:~ webcopilot -h

                                ──────▄▀▄─────▄▀▄
                                ─────▄█░░▀▀▀▀▀░░█▄
                                ─▄▄──█░░░░░░░░░░░█──▄▄
                                █▄▄█─█░░▀░░┬░░▀░░█─█▄▄█
 ██╗░░░░░░░██╗███████╗██████╗░░█████╗░░█████╗░██████╗░██╗██╗░░░░░░█████╗░████████╗
░██║░░██╗░░██║██╔════╝██╔══██╗██╔══██╗██╔══██╗██╔══██╗██║██║░░░░░██╔══██╗╚══██╔══╝
░╚██╗████╗██╔╝█████╗░░██████╦╝██║░░╚═╝██║░░██║██████╔╝██║██║░░░░░██║░░██║░░░██║░░░
░░████╔═████║░██╔══╝░░██╔══██╗██║░░██╗██║░░██║██╔═══╝░██║██║░░░░░██║░░██║░░░██║░░░
░░╚██╔╝░╚██╔╝░███████╗██████╦╝╚█████╔╝╚█████╔╝██║░░░░░██║███████╗╚█████╔╝░░░██║░░░
░░░╚═╝░░░╚═╝░░╚══════╝╚═════╝░░╚════╝░░╚════╝░╚═╝░░░░░╚═╝╚══════╝░╚════╝░░░░╚═╝░░░
                                                                [●] 版本: 2.0.0
                                                                [●] @h4r5h1t | G!2m0


[❌] 警告: 请谨慎使用。您对自己的行为负责。
[❌] 开发者不承担任何责任，也不对因使用本工具造成的任何误用或损害负责。


用法:
webcopilot -d <目标>
webcopilot -d <目标> -a
webcopilot [-d 目标] [-o 输出路径] [-t 线程数] [-b 盲测服务器URL] [-x 排除域名] [-f 子域名文件] [-a] [-v] [-h]
标志:
  -d        添加目标 [可选]
  -o        将输出保存到文件夹 [默认: webcopilot-<时间戳>]
  -t        线程数 [默认: 100]
  -b        添加您的服务器用于BXSS [默认: 否]
  -x        排除范围外的域名 [默认: 否]
  -f        指定包含子域名的文件，这将跳过子域名枚举 [可选]
  -a        运行所有枚举，默认只运行子域名枚举 [默认: 否][耗时]
  -v        显示工具版本
  -h        显示此帮助信息

示例:./webcopilot -d domain.com -a -o domain -t 333 -x exclude.txt -b testServer.oast.fun
您可以使用 https://app.interactsh.com/ 获取您的服务器

安装 WebCopilot

WebCopilot 需要 git 才能成功安装。以 root 身份运行以下命令来安装 webcopilot：

git clone https://github.com/h4r5h1t/webcopilot && cd webcopilot/ && chmod +x webcopilot install.sh && mv webcopilot /usr/bin/ && ./install.sh

[*] 正在安装工具
[*] 正在创建目录
[*] 正在安装依赖并检查是否已安装
[*] git 已安装
[*] python3 已安装
[*] python3-pip 已安装
[*] ruby 已安装
[*] golang-go 已安装
[*] snapd 未找到 [*] 正在安装 snapd
[*] snapd 安装未成功，请手动安装
[*] cmake 已安装
[*] jq 已安装
[*] gobuster 已安装
[*] chromium 已安装
[*] parallel 已安装
[*] 正在安装 Python 工具
[*] Sublist3r 未找到 [*] 正在安装 Sublist3r
[*] Sublist3r 安装成功
[*] sqlmap 已安装
[*] urldedupe 已安装
[*] openredirex 已安装
[*] waymore 已安装
[*] findomain 已安装
[*] uro 已安装
[*] 正在安装字典和负载
[*] 跳过 payloads/lfi.txt，已存在。
[*] 跳过 resolvers.txt，已存在。
[*] 跳过 subdomains.txt，已存在。
[*] 跳过 fuzz.txt，已存在。
[*] 跳过 dicc.txt，已存在。
[*] 跳过 big.txt，已存在。
[*] 跳过 dns.txt，已存在。
[*] 正在安装 Go 工具
[*] anew 已安装
[*] gf 已安装
[*] aquatone 未找到 [*] 正在安装 aquatone
[*] aquatone 安装未成功，请手动安装
[*] assetfinder 已安装
[*] gau 已安装
[*] waybackurls 已安装
[*] httpx 未找到 [*] 正在安装 httpx
[*] httpx 安装未成功，请手动安装
[*] amass 未找到 [*] 正在安装 amass
[*] amass 安装未成功，请手动安装
[*] kxss 已安装
[*] subjack 已安装
[*] qsreplace 已安装
[*] dnsx 未找到 [*] 正在安装 dnsx
[*] dnsx 安装未成功，请手动安装
[*] dalfox 已安装
[*] crlfuzz 已安装
[*] nuclei 未找到 [*] 正在安装 nuclei
[*] nuclei 安装未成功，请手动安装
[*] subfinder 未找到 [*] 正在安装 subfinder
[*] subfinder 安装未成功，请手动安装
[*] 正在配置工具并设置环境
[*] 所有工具安装成功

使用的工具：

SubFinder • Sublist3r • Findomain • gf • OpenRedireX • dnsx • sqlmap • gobuster • assetfinder • httpx • kxss • qsreplace • Nuclei • dalfox • anew • jq • aquatone • urldedupe • Amass • gauplus • waybackurls • crlfuzz • gau • waymore • SUBLIST3R_V2.0 • uro