はじめに

Hack The Boxやtry hack meはまずは列挙しろってよく言われます。そのツールとしてgobuster,nmap,rustscan,whatweb,WPScanなどなど...使うと思います。

そのツールの1つとしてあるのがffufです。

ffufはgobusterと同じWebアプリケーションへの攻撃に使います。
ただ、gobusterと違っていろんな扱い方があります。

コマンド例

ffuf -c -u http://victim.com/FUZZ  -w wordlists.txt

まず、ffufはFUZZの部分にwordlistの文字列を順に入れて-uのURLにアクセスします。なので、ffufのコマンドのどこかにはFUZZの文字列が存在しています。

標準的なオプションで見やすくしたり、出力結果が欲しい時に使えます。

fが付くと条件に合うものについては出力をしなくなる。
mが付くと条件に合うものだけ出力する。
以下の表に*にfかmを指定すればOKです。

以下に実例を示します。

組織が複数のドメイン名を1代のサーバーでホストしている仮想ホストを見つけることが可能です。

ffuf -c -u http://victim.com  -w wordlists.txt -H "Host: FUZZ.victim.com"

ffuf -u "http:/victim.com/FUZZ" -w /your/wordlist.txt -fw 13127

今回はレスポンスの文字数が13127文字のレスポンスを表示しないようにする。

隠されたディレクトリを探すために使用する。

ffuf -u "http:/victim.com/FUZZ" -w /your/wordlist.txt -e .php

今回は表示する拡張子をphpのみを表示する。

ffuf -u "http:/victim.com/FUZZ" -w /your/wordlist.txt -e .php -fc 403

今回は表示する拡張子をphpとレスポンスコード403を表示しないようにする。

LFIとはローカルファイルインクルードで外部ファイルの読み込みではなくサーバー内のファイルを不正に読み込んだり、意図しない動作を起こして脆弱性を発生させます。

ffuf -u "http:/victim.com/upload.php?file=FUZZ" -w /your/wordlist.txt

まだもっとオプションがあってhttpのリクエストの指定したりできたりもします。でも、まずはこれさえできれば不自由なく扱えると思います。