共计 2270 个字符,预计需要花费 6 分钟才能阅读完成。
导读 | WWWGrep 是一款针对 HTML 安全的工具,该工具基于快速搜索“grepping”机制实现其功能,并且可以按照类型检查 HTML 元素,并允许执行单个、多个或递归搜索。 |
关于 WWWGrep
WWWGrep 是一款针对 HTML 安全的工具,该工具基于快速搜索“grepping”机制实现其功能,并且可以按照类型检查 HTML 元素,并允许执行单个、多个或递归搜索。Header 名称和值同样也可以通过这种方式实现递归搜索。
功能介绍
工具安装
广大研究人员可以使用下列命令将该项目源码克隆至本地,并安装好相关的依赖组件:
git clone https://github.com/OWASP/wwwgrep.git
pip3 install -r requirements.txt
python3 wwwgrep.py
依赖组件(pip3 install -r requirements.txt)
- Python 3.5+
- BeautifulSoup 4
- UrlLib.parse
- requests_html
- argparse
- requests
- re
- os.path
命令行选项
wwwgrep.py [target/file] [search_string] [search params/criteria/recursion etc]
Search Inputs
search_string 指定要搜索的字符串,或者为搜索参数中指定类型的所有对象指定“”-t --target 指定单个 URL 作为搜索的目标
-f --file 指定包含要搜索的 URL 列表的文件
Recursion
-rr --recurse-root 将 URL 递归限制到目标中提供的域
-ra --recurse-any 允许递归扩展到目标域之外
Matching Criteria
-i --ignore-case 执行不区分大小写的匹配(默认为按大小写)-d --dedupe 允许每页有重复的结果(默认为消除重复的结果)-r --no-redirects 不允许重定向(默认为允许重定向)-b --no-base-url 从输出中省略匹配的 URL(默认情况下包括 URL)-x --regex 允许使用正则表达式匹配项(搜索字符串被视为正则表达式,默认值为 off)-e --separator 指定和输出说明符(默认值为:)-j --java-render 打开页面对象和文本的 JavaScript 呈现(默认为关闭)-p --linked-js-on 打开链接(脚本 src 标记)Java 脚本的搜索功能(默认为关闭)Request Parameters
-ps --https-proxy 以“https://:”格式指定 HTTPS 协议的代理
-pp --http-proxy 以“https://:”格式指定 HTTP 协议的代理
-hu --user-agent 指定在请求中用作用户代理的字符串
-ha --auth-header 指定要在请求 Header 中使用的承载令牌或其他身份验证字符串
Search Parameters
-s --all 在所有页面 HTML 和脚本中搜索匹配的术语
-sr --relative 搜索匹配相对 URL 页面链接
-sa --absolute 搜索匹配绝对 URL 页面链接
-si --input-fields 在页面中搜索匹配的输入字段
-ss --scripts 搜索与搜索规范匹配的脚本标记
-st --text 搜索页面上与搜索规范匹配的可见文本
-sc --comments 搜索页面上与搜索规范匹配的注释
-sm --meta 在页面元数据中搜索与搜索规范的匹配项
-sf --hidden 在隐藏字段中搜索与搜索规范的特定匹配项
-sh --header-name 搜索响应 Header 以查找与搜索规范的特定匹配项
-sv --header-value 搜索响应 Header 值以查找与搜索规范的特定匹配项
工具使用样例
递归查找站点上名为 login 的所有输入字段,匹配不区分大小写:
wwwgrep.py -t https://www.target.com -i -si“login”-rr
在网站的所有页面上查找包含“待办事项(to do)”一词的所有注释:
wwwgrep.py -t https://www.target.com -i -sc“to do”-rr
查找特定网页上的所有注释:
wwwgrep.py -t https://www.target.com/some_page -i -sc“”
使用站点递归方式查找 input.txt 文件中包含的 web 应用程序列表中的所有隐藏字段:
wwwgrep.py -f input.txt -sf“”-rr
正文完
星哥说事-微信公众号
![post-qrcode](https://www.xgss.net/wp-content/uploads/2023/07/二维码-微信公众号256x256.jpg)