freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课
FreeBuf+小程序

FreeBuf+小程序

官方公众号企业安全新浪微博

国内领先的互联网安全新媒体,同时也是爱好者们交流与分享安全技术的社区

WAFNinja:灵活的WAF自动化Fuzz工具
2016-11-30 12:00:30

wafninja.png

WAFNinja是一款用python写的命令行工具,它可以帮助渗透测试人员免去部分手动输入的烦恼。此外,WAFNinja强大的扩展性,在团队协作中显得非常适用。

工具简介

这款工具里有许多的攻击payload和用于fuzz的字符串,都储存在附带的sqlite数据库文件里。另外,WAFNinja支持HTTP的GET和POST请求,也支持带上cookie。当然,必要的时候,我们还可以设置代理。

大致用法:

wafninja.py [-h] [-v] {fuzz, bypass, insert-fuzz, insert-bypass, set-db} ...

下面给出部分案例:

fuzz:

python wafninja.py fuzz -u "http://www.target.com/index.php?id=FUZZ"  -c "phpsessid=value" -t xss -o output.html 

bypass:

python wafninja.py bypass -u "http://www.target.com/index.php"  -p "Name=PAYLOAD&Submit=Submit" -c "phpsessid=value" -t xss -o output.html

插入型fuzz:

python wafninja.py insert-fuzz -i select -e select -t sql

参数大致介绍

fuzz                检查能绕过WAF的关键词和符号.

bypass           用数据库中payload进行批量测试

insert-fuzz       添加需要fuzz的字符串

insert-bypass     为bypass的字典添加payload

set-db              添加另外一个数据库文件,可分享给其他人

-h, --help           显示帮助信息

-v, --version        显示程序版本号

* 参考来源:Github,FB小编dawner编译,转载请注明来自FreeBuf(FreeBuf.COM)

本文作者:, 转载请注明来自FreeBuf.COM

# payload # fuzz # SQLite
被以下专栏收录,发现更多精彩内容
+ 收入我的专栏
评论 按时间排序

登录/注册后在FreeBuf发布内容哦

相关推荐
  • 0 文章数
  • 0 评论数
  • 0 关注者
登录 / 注册后在FreeBuf发布内容哦