• Познакомьтесь с пентестом веб-приложений на практике в нашем новом бесплатном курсе

    «Анализ защищенности веб-приложений»

    🔥 Записаться бесплатно!

  • CTF с учебными материалами Codeby Games

    Обучение кибербезопасности в игровой форме. Более 200 заданий по Active Directory, OSINT, PWN, Веб, Стеганографии, Реверс-инжинирингу, Форензике и Криптографии. Школа CTF с бесплатными курсами по всем категориям.

Школа Эффективный фаззинг (FEROXBUSTER)

Paladin

Администратор
10.10.2021
96
431
BIT
420
1671318270627.png

Доброго времени суток, уважаемые форумчане!
Давно я не мучил Вас своими нудными и бестолковыми статьями. Нужда заставила. С каждым новым потоком учеников курса WAPT сталкиваюсь с ленью и полным нежеланием многих студентов осваивать мастерство пентеста. Нет, зря не скажу, большинство ребят работают с душой и нечеловеческой самоотдачей. Но многие до сих пор не понимают во что они ввязались и зачем им это надо. Команда Академии Codeby провела серьезную работу по переработке методических материалов и видеоуроков, сделав их более дружественными и доступными для понимания. Однако, для многих это все равно является непреодолимым препятствием. Парни, когда вы поймете, что достичь чего-то можно только тяжелым трудом и желанием?

Вот, вроде написал статью ПОЛЕЗНЫЙ ФАЗЗИНГ, в которой доступно изложил важные моменты. Переработали с коллегами материалы, где практически расписали каждый инструмент. А все равно появляются обращения типа – Я ПЕРЕПРОБОВАЛ ВСЕ КОМАНДЫ ИЗ МЕТОДИЧКИ, А ОНИ НЕ РАБОТАЮТ. При этом человек даже не удосужился вникнуть в глубину процесса и изучить, как следует документацию к инструменту (все указанные в этой статье персонажи и события вымышлены. Любое совпадение персонажей и событий – плод больного воображения автора).

Сегодня познакомимся с замечательным инструментом для фаззинга, использование которого должно существенно миниминимизировать количество подобных обращений – FEROXBUSTER.

Впервые столкнулся с этой утилитой благодаря стараниям студента курса WAPT Жоры (@Repeter_IB). Человек нашел, изучил и поделился своими знаниями с коллегами, за что ему огромная признательность, по крайней мере от меня лично.

Прелесть инструмента в том, что он быстрый, красивый и постоянно поддерживаемый разработчиками. Он прекрасно решает возложенные на него задачи, обладает минимумом настроек и легок в изучении.

Программа с открытым исходным кодом, ссылка:

GitHub - epi052/feroxbuster: A fast, simple, recursive content discovery tool written in Rust.

Для установки инструмента в терминале Kali Linux необходимо выполнить следующую команду:

sudo apt update && sudo apt install -y feroxbuster

После установки для получения справки набираем: feroxbuster -h и получаем:

1671317943339.png


В принципе, инструкция мало чем отличается от других фаззеров, таких как ffuf, wfuzz, gobuster и т.д. Инструмент малотребовательный к настройкам, но при этом очень красивый и функциональный. Давайте протестируем инструмент на привычном нам сайте vulnweb.com, запустим простую команду feroxbuster -u и получим молниеносный результат.

1671317862466.png


Конечно встроенный словарик несколько дохловат, да и дефолтные настройки не позволят нам вытащить все, что возможно. Попробуем подключить более мощный словарь и протестировать тот же сайт на наличие не только директорий, но и вложенных в них файлов, для этого запустим команду:​

feroxbuster - u -w /ПУТЬ/SecLists-master/Discovery/Web-Content/directory-list-2.3-medium.txt -d 2 --force-recursion -x txt,php,html

и наш вывод существенно вырос:​

1671318153621.png


Здесь мы задали глубину рекурсивного поиска (-d 2), и расширения искомых файлов (-x txt,php,html) и при этом мы совершенно не парились с фильтрацией выводимых результатов (хотя такие опции в программе тоже есть).

Я просто уверен, что, если человек заморочится изучением инструмента он не капли не пожалеет о затраченном времени. Функционал программы значительно шире приведенных примеров. Дерзайте! Всем спасибо за внимание! Пинки принимаются ежедневно с 22.00 до 22.01.​
 
Последнее редактирование:

madargus_

Green Team
16.06.2021
11
13
BIT
105
Замечательно, вот только это не фаззинг :)
Дяденька, видать форумом ошибся...открываем гугл и набираем слово фаззинг...и на будущее - приличные люди прежде чем что-нибудь сказать думают головой, а если не уверены в своих умозаключениях - уточняют детали различными способами , такими как поиск инфы в интернете или чтение справочников авторитетных изданий..ну а если feroxbuster не фаззинг, то я , наверное, таджикская балерина....
 
  • Нравится
Реакции: Mousemi и Edmon Dantes

WithoutIrony

Green Team
28.08.2022
140
15
BIT
0
Дяденька, видать форумом ошибся...открываем гугл и набираем слово фаззинг...
Давайте загуглим:
In programming and software development, fuzzing or fuzz testing is an automated software testing technique that involves providing invalid, unexpected, or random data as inputs to a computer program. [ ]
Если не дошла разница между сканнером и фаззером - перечитайте ещё раз.

А ещё можете зайти на гитхаб утилиты и найти там хоть одно упоминание фаззинга.
А знаете почему? Потому что это сканер чистой воды, а не фаззер. Если тот-же ffuf умеет и сканировать и фаззить, то тут ни разу не так.

Так-что, на будущее, рекомендую прислушаться к вашему-же совету:
и на будущее - приличные люди прежде чем что-нибудь сказать думают головой, а если не уверены в своих умозаключениях - уточняют детали различными способами

я , наверное, таджикская балерина....
Угу. А ещё не расист.
 

Paladin

Администратор
10.10.2021
96
431
BIT
420
Если не дошла разница между сканнером и фаззером - перечитайте ещё раз.
Уважаемый! В статье нигде не сказано, что это фаззер. Целью было показать, что инструмент можно использовать для поиска скрытых директорий и папок и он отлично справляется с этой задачей. И не важно как это названо, главное, чтобы это было понятно тому кому адресовано. Если вы не заметили, в заголовке статьи стоит пометка ШКОЛА, то есть статья по большому счету написана для студентов курса WAPT, и я рассчитываю, что кому-то из них она поможет. Непонятна цель вашего комментария. Показать свои знания? Это лучше сделать, написав свою статью по какому-нибудь актуальному вопросу. Показать некомпетентность автора? Еще раз повторюсь, я использую такой стиль написания, чтобы материал был понятен той аудитории, для кого он предназначен. Если статья будет полезна хотя бы для 5 человек, значит я не зря потратил время.
 

WithoutIrony

Green Team
28.08.2022
140
15
BIT
0
В статье нигде не сказано, что это фаззер.
Сегодня познакомимся с замечательным инструментом для фаззинга [...] – FEROXBUSTER.
%)

Уважаемый ТС, вам нормально указали на ошибку в формулировке. Что вы, благополучно, проигнорировали.
Теперь ваши ученики-студенты-падаваны, о которых вы, с ваших-же слов, так заботитесь, будут использовать термин в неправильном контексте, неправильно понимая его значение. Good game, well played.

Это лучше сделать, написав свою статью по какому-нибудь актуальному вопросу.
Угу. После того, как этот Д'Артаньян показал мне, что я ничего не понимаю, и вообще, лучше-бы мне заткнуться, меня аж потянуло статьи писать.
 

Paladin

Администратор
10.10.2021
96
431
BIT
420
Угу. После того, как этот Д'Артаньян показал мне, что я ничего не понимаю, и вообще, лучше-бы мне заткнуться, меня аж потянуло статьи писать.
Да писать статьи это явно не ваше. Лучше другие грязью поливать. Оставили на форуме 32 коммента, ни одного по существу, только попытка демонстрации себя, как гуру.
Сегодня познакомимся с замечательным инструментом для фаззинга [...] – FEROXBUSTER
Написано же инструмент для фаззинга. Его же можно для фаззинга использовать? Я нигде не назвал его фаззером.
 
  • Нравится
Реакции: Mousemi

B13

Заблокирован
01.01.2020
414
55
BIT
134
Раз уж речь зашла о фаззинге и фаззерах, не могли бы подсказать какой можно использовать фазер (на подобие spike) для фаззинг тестирования ПО в наших реалиях, т.к. сам spike считается устаревшим. Заранее спасибо.

П. С.
Google не дал толкового ответа, в основном выдает фаззер веб приложений.
 
Последнее редактирование:

han

One Level
06.05.2021
3
3
BIT
5
-X <pattern> сопадения по шаблону
--threads <THREADS COUNT> кол-во потоков
--burp гоняет траф в бурп
-m <HTTP_METHODS> меняем метод
--cookies <COOKIE> устанавливаем куки
--output <FILE> выгружает результат в файл
Пусть это здесь полежит)
 
  • Нравится
Реакции: Mousemi и Dzen

WithoutIrony

Green Team
28.08.2022
140
15
BIT
0
Раз уж речь зашла о фаззинге и фаззерах, не могли бы подсказать какой можно использовать фазер (на подобие spike) для фаззинг тестирования ПО в наших реалиях, т.к. сам spike считается устаревшим. Заранее спасибо.

П. С.
Google не дал толкового ответа, в основном выдает фаззер веб приложений.
Зависит от того, что и на чем фаззить. Есть AFL, например.
Читайте тут - и тут
 
Мы в соцсетях:

Обучение наступательной кибербезопасности в игровой форме. Начать игру!