一、fuzz字典下载地址
https://github.com/fuzzdb-project/fuzzdb
https://github.com/TheKingOfDuck/fuzzDicts
https://github.com/TuuuNya/fuzz_dict
https://github.com/jas502n/fuzz-wooyun-org
二、fuzz字典生成工具
前言
学习xss的时候翻阅资料发现了一个文件上传漏洞fuzz字典生成脚本小工具,试了试还不错,分享一下
配置
需要python2环境
工具地址:https://github.com/c0ny1/upload-fuzz-dic-builder
使用方法
$ python upload-fuzz-dic-builder.py -h
usage: upload-fuzz-dic-builder [-h] [-n] [-a] [-l] [-m] [--os] [-d] [-o]
optional arguments:
-h, --help show this help message and exit
-n , --upload-filename
Upload file name
-a , --allow-suffix Allowable upload suffix
-l , --language Uploaded script language
-m , --middleware Middleware used in Web System
--os Target operating system type
-d, --double-suffix Is it possible to generate double suffix?
-o , --output Output file
上传文件名(-n),允许的上传的后缀(-a),后端语言(-l),中间件(-m),操作系统(–os),是否加入双后缀(-d)以及输出的字典文件名(-o)。我们可以根据场景来生成合适的字典,提供的信息越详细,脚本生成的字典越精确。
python upload-fuzz-dic-builder.py -l php -m apache --os win
![](https://img-
blog.csdnimg.cn/img_convert/a0a4df73893b4d2dadf4dd7bb105a675.png)
然后用burpsuite抓包,放入intreder模块,选择上一步生成的字典,选择枚举的位置。
![](https://img-
blog.csdnimg.cn/img_convert/fb147a31007a42dda06d1e2d72595fd4.png)
注意:如图模块不用勾选。
![](https://img-
blog.csdnimg.cn/img_convert/fbaf9b9df788432bb517464184b24788.png)
最后:start attack即可,观察跑的结果,进行进一步利用。
![](https://img-
blog.csdnimg.cn/img_convert/86d58937b8a0412689b8b9588d2d9e03.png)
最后个人想法
可以自定义中间件,后端语言,系统,来生成fuzz,要是手工测试的会很累,精确的还行,就是跑的还是蛮多的,对服务器还是有影响,我本地跑的,生成了很多的图片,所以肯定没有手工注入准确,最后,这个工具还是很不错的,感觉可以的可以尝试一下。
参考地址
最后
从时代发展的角度看,网络安全的知识是学不完的,而且以后要学的会更多,同学们要摆正心态,既然选择入门网络安全,就不能仅仅只是入门程度而已,能力越强机会才越多。
因为入门学习阶段知识点比较杂,所以我讲得比较笼统,大家如果有不懂的地方可以找我咨询,我保证知无不言言无不尽,需要相关资料也可以找我要,我的网盘里一大堆资料都在吃灰呢。
干货主要有:
①1000+CTF历届题库(主流和经典的应该都有了)
②CTF技术文档(最全中文版)
③项目源码(四五十个有趣且经典的练手项目及源码)
④ CTF大赛、web安全、渗透测试方面的视频(适合小白学习)
⑤ 网络安全学习路线图(告别不入流的学习)
⑥ CTF/渗透测试工具镜像文件大全
⑦ 2023密码学/隐身术/PWN技术手册大全
如果你对网络安全入门感兴趣,那么你需要的话可以点击这里👉网络安全重磅福利:入门&进阶全套282G学习资源包免费分享!
扫码领取
![](https://i-blog.csdnimg.cn/blog_migrate/294bbf007bd75dd57a0e0186826b2f80.jpeg)