WAFNinja 靈活的WAF自動化Fuzz工具

wafninja是一款用python寫的命令列工具，它可以幫助滲透測試人員免去部分手動輸入的煩惱。此外，wafninja強大的擴充套件性，在團隊協作中顯得非常適用。

工具簡介

這款工具裡有許多的攻擊payload和用於fuzz的字串，都儲存在附帶的sqlite資料庫檔案裡。另外，wafninja支援http的get和post請求，也支援帶上cookie。當然，必要的時候，我們還可以設定**。

大致用法：

下面給出部分案例：

fuzz：

""-c "phpsessid=value"

-t xss -o 

output

.html 

bypass：

""-p "name=payload&submit=submit"

-c "phpsessid=value"

-t xss -o 

output

.html 

插入型fuzz：

insert

-fuzz -i 

select

-e select

-t sql 

引數大致介紹

bypass 用資料庫中payload進行批量測試

insert-fuzz 新增需要fuzz的字串

insert-bypass 為bypass的字典新增payload

set-db 新增另外乙個資料庫檔案，可分享給其他人

-h, –help 顯示幫助資訊

-v, –version 顯示程式版本號

waf 繞過的技巧

livers 2013 05 31 17 41 研究過國內外的waf。分享一些 奇淫絕技。mysql 過空格和一些正則。mysql select version version 5.1.50 community log 1 row in set 0.00 sec 複製 乙個更好玩的技巧，這個 控制符...

WAF的那些事兒

web基本可以分為以下幾類。軟體型waf 以軟體形式裝在所保護的伺服器行的waf，由於安裝在伺服器上，所以可以接觸到伺服器上的檔案，直接檢測伺服器上是否存在webshell 是否有檔案被建立等。硬體型waf 以硬體形式部署在鏈路中，支援多種部署方式，當串聯到鏈路中時可以攔截惡意流量，在旁路監聽模式時...

python 太靈活 Python中的靈活引數

別這樣！但如果你還想，我建議你有乙個中間類或函式來處理這個問題 偽 def printthenumber num print num def intermediateprintthenumber input num int dict 或者，在更糟的情況下，one 甚至可能更糟 這應該由乙個只負責處理...