ffuf-fuzz

ffuf 模糊测试工具完整参考

ffuf (Fuzz Faster U Fool) 是最灵活的 Web 模糊测试工具。核心概念：用 FUZZ 关键字标记需要替换的位置。

Phase 1: 目录/文件发现（最常用）

# 基础目录扫描
ffuf -u http://target/FUZZ -w /usr/share/seclists/Discovery/Web-Content/common.txt

# 指定扩展名
ffuf -u http://target/FUZZ -w /usr/share/seclists/Discovery/Web-Content/common.txt \
    -e .php,.html,.txt,.bak,.zip

# 递归扫描（发现目录后继续深入）
ffuf -u http://target/FUZZ -w wordlist.txt -recursion -recursion-depth 2

# 大字典深度扫描
ffuf -u http://target/FUZZ -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt \
    -e .php,.asp,.jsp -t 50

字典选择

场景	推荐字典
快速扫描	Discovery/Web-Content/common.txt (4660)
中等扫描	Discovery/Web-Content/directory-list-2.3-small.txt (87k)
深度扫描	Discovery/Web-Content/directory-list-2.3-medium.txt (220k)
备份文件	Discovery/Web-Content/common-and-backup.txt
API 路径	Discovery/Web-Content/api/api-endpoints.txt
CTF 常见	/pentest/AboutSecurity/Dic/web/ctf/

---

Phase 2: 参数 Fuzz（发现隐藏参数）

# GET 参数发现
ffuf -u 'http://target/page.php?FUZZ=test' \
    -w /usr/share/seclists/Discovery/Web-Content/burp-parameter-names.txt \
    -fs 4242  # 过滤默认响应大小

# GET 参数值 Fuzz
ffuf -u 'http://target/page.php?id=FUZZ' \
    -w /usr/share/seclists/Fuzzing/integers-1-1000.txt

# POST 参数发现
ffuf -u 'http://target/api' -X POST \
    -d 'FUZZ=test' \
    -H 'Content-Type: application/x-www-form-urlencoded' \
    -w /usr/share/seclists/Discovery/Web-Content/burp-parameter-names.txt \
    -fs 4242

# JSON 参数 Fuzz
ffuf -u 'http://target/api' -X POST \
    -d '{"FUZZ":"test"}' \
    -H 'Content-Type: application/json' \
    -w /usr/share/seclists/Discovery/Web-Content/burp-parameter-names.txt \
    -fs 4242

CTF 专用参数字典：/pentest/AboutSecurity/Dic/web/ctf/param.txt

---

Phase 3: 虚拟主机 / 子域名枚举

# 虚拟主机枚举（通过 Host 头）
ffuf -u http://target/ -H 'Host: FUZZ.target.com' \
    -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt \
    -fs 4242  # 过滤默认页面大小

---

Phase 4: 多位置 Fuzz

ffuf 支持多个 FUZZ 关键字（用不同名称区分）：

# 用户名+密码爆破
ffuf -u http://target/login -X POST \
    -d 'username=HFUZZ&password=WFUZZ' \
    -H 'Content-Type: application/x-www-form-urlencoded' \
    -w users.txt:HFUZZ -w passwords.txt:WFUZZ \
    -fc 401  # 过滤 401 响应

# 目录+扩展名组合
ffuf -u http://target/W1FUZZ.W2FUZZ \
    -w dirs.txt:W1FUZZ -w extensions.txt:W2FUZZ \
    -mode clusterbomb  # 所有组合（笛卡尔积）

Fuzz 模式

模式	说明	场景
clusterbomb	所有组合（默认）	用户名×密码
pitchfork	一一对应	已知配对的凭据
sniper	单字典逐位置	单参数多位置

---

Phase 5: 过滤与匹配（关键！）

ffuf 默认显示所有响应，需要过滤噪音：

过滤（排除不想要的）

参数	作用	示例
-fc	过滤状态码	-fc 404,403,500
-fs	过滤响应大小	-fs 4242
-fw	过滤响应词数	-fw 12
-fl	过滤响应行数	-fl 5
-fr	过滤正则匹配	-fr 'not found'
-ft	过滤响应时间	-ft '>3000'（>3秒）

匹配（只显示想要的）

参数	作用	示例
-mc	匹配状态码	-mc 200,301,302
-ms	匹配响应大小	-ms 1234
-mw	匹配响应词数	-mw 100-500
-mr	匹配正则	-mr 'flag\{.*\}'

技巧：先不加过滤跑一次，观察默认响应大小，然后用 -fs 过滤掉。

---

Phase 6: 常用选项

# 线程数（默认 40，可调高）
-t 100

# 延迟（避免被封，单位秒；0.1 = 100ms）
-p 0.1

# 请求速率限制（每秒请求数）
-rate 50

# 自定义 Cookie
-b 'session=abc123; token=xyz'

# 自定义 Header
-H 'Authorization: Bearer TOKEN'
-H 'X-Forwarded-For: 127.0.0.1'

# 代理
-x http://127.0.0.1:8080
-x socks5://127.0.0.1:1080

# 输出到文件
-o results.json -of json
-o results.csv -of csv
-o results.html -of html

# 自动校准（自动检测过滤基线）
-ac

# 跟随重定向
-r

# 超时（秒）
-timeout 10

# 静默模式（只输出结果）
-s

---

实战场景速查

场景	命令
快速目录扫描	ffuf -u URL/FUZZ -w common.txt -mc 200,301,302
扫 PHP 文件	ffuf -u URL/FUZZ -w common.txt -e .php -mc 200
找隐藏参数	ffuf -u 'URL?FUZZ=1' -w burp-parameter-names.txt -fs SIZE
LFI 参数 Fuzz	ffuf -u 'URL?FUZZ=../../../etc/passwd' -w param.txt -mr 'root:'
子域名枚举	ffuf -u URL -H 'Host: FUZZ.target' -w subdomains.txt -fs SIZE
暴力登录	ffuf -u URL -X POST -d 'user=admin&pass=FUZZ' -w passwords.txt -fc 401
API 端点发现	ffuf -u URL/api/FUZZ -w api-endpoints.txt -mc 200,401,403
备份文件搜索	ffuf -u URL/FUZZ -w common.txt -e .bak,.zip,.tar.gz,.sql -mc 200

注意事项

• -ac 自动校准非常实用——自动检测默认响应并过滤，减少手动设置 -fs 的麻烦
• ffuf 默认 40 线程，对弱目标可能过快导致 429/封 IP，降到 -t 10 -p 0.1
• 字典路径：SecLists 通常在 /usr/share/seclists/，AboutSecurity 字典在 /pentest/AboutSecurity/Dic/
• POST Fuzz 必须指定 Content-Type 头，否则服务端可能不解析
• 多位置 Fuzz 默认是 clusterbomb（笛卡尔积），大字典时组合数爆炸，注意字典大小