文章详情

短信预约-IT技能 免费直播动态提醒

请输入下面的图形验证码

提交验证

短信预约提醒成功

如何使用WWWGrep检查你的网站元素安全

2024-12-02 18:07

关注

关于WWWGrep

WWWGrep是一款针对HTML安全的工具,该工具基于快速搜索“grepping”机制实现其功能,并且可以按照类型检查HTML元素,并允许执行单个、多个或递归搜索。Header名称和值同样也可以通过这种方式实现递归搜索。

功能介绍

工具安装

广大研究人员可以使用下列命令将该项目源码克隆至本地,并安装好相关的依赖组件:

  1. git clone https://github.com/OWASP/wwwgrep.git 
  2. pip3 install -r requirements.txt 
  3. python3 wwwgrep.py <arguments and parameters> 

依赖组件(pip3 install -r requirements.txt)

  1. - Python 3.5+ 
  2. - BeautifulSoup 4 
  3. - UrlLib.parse 
  4. - requests_html 
  5. - argparse 
  6. - requests 
  7. - re 
  8. - os.path 

命令行选项

  1. wwwgrep.py [target/file] [search_string] [search params/criteria/recursion etc] 
  2. Search Inputs 
  3. search_string 指定要搜索的字符串,或者为搜索参数中指定类型的所有对象指定“” 
  4. -t --target 指定单个URL作为搜索的目标 
  5. -f --file 指定包含要搜索的URL列表的文件 
  6. Recursion 
  7. -rr --recurse-root 将URL递归限制到目标中提供的域 
  8. -ra --recurse-any 允许递归扩展到目标域之外 
  9. Matching Criteria 
  10. -i --ignore-case   执行不区分大小写的匹配(默认为按大小写) 
  11. -d --dedupe       允许每页有重复的结果(默认为消除重复的结果) 
  12. -r --no-redirects   不允许重定向(默认为允许重定向) 
  13. -b --no-base-url   从输出中省略匹配的URL(默认情况下包括URL) 
  14. -x --regex        允许使用正则表达式匹配项(搜索字符串被视为正则表达式,默认值为off) 
  15. -e --separator  指定和输出说明符(默认值为:) 
  16. -j --java-render   打开页面对象和文本的JavaScript呈现(默认为关闭) 
  17. -p --linked-js-on  打开链接(脚本src标记)Java脚本的搜索功能(默认为关闭) 
  18. Request Parameters  
  19. -ps --https-proxy 以“https://<ip>:<port>”格式指定HTTPS协议的代理 
  20. -pp --http-proxy 以“https://<ip>:<port>”格式指定HTTP协议的代理 
  21. -hu --user-agent 指定在请求中用作用户代理的字符串 
  22. -ha --auth-header 指定要在请求Header中使用的承载令牌或其他身份验证字符串 
  23. Search Parameters 
  24. -s --all       在所有页面HTML和脚本中搜索匹配的术语 
  25. -sr --relative       搜索匹配相对URL页面链接 
  26. -sa --absolute   搜索匹配绝对URL页面链接 
  27. -si --input-fields   在页面中搜索匹配的输入字段 
  28. -ss --scripts       搜索与搜索规范匹配的脚本标记 
  29. -st --text          搜索页面上与搜索规范匹配的可见文本 
  30. -sc --comments     搜索页面上与搜索规范匹配的注释 
  31. -sm --meta          在页面元数据中搜索与搜索规范的匹配项 
  32. -sf --hidden        在隐藏字段中搜索与搜索规范的特定匹配项 
  33. -sh --header-name   搜索响应Header以查找与搜索规范的特定匹配项 
  34. -sv --header-value   搜索响应Header值以查找与搜索规范的特定匹配项 

工具使用样例

递归查找站点上名为login的所有输入字段,匹配不区分大小写:

  1. wwwgrep.py -t https://www.target.com -i -si “login” -rr 

在网站的所有页面上查找包含“待办事项(to do)”一词的所有注释:

  1. wwwgrep.py -t https://www.target.com -i -sc “to do” -rr 

查找特定网页上的所有注释:

  1. wwwgrep.py -t https://www.target.com/some_page -i -sc “” 

使用站点递归方式查找input.txt文件中包含的web应用程序列表中的所有隐藏字段:

  1. wwwgrep.py -f input.txt -sf “” -rr 

项目地址

WWWGrep:【GitHub传送门

 

来源:FreeBuf内容投诉

免责声明:

① 本站未注明“稿件来源”的信息均来自网络整理。其文字、图片和音视频稿件的所属权归原作者所有。本站收集整理出于非商业性的教育和科研之目的,并不意味着本站赞同其观点或证实其内容的真实性。仅作为临时的测试数据,供内部测试之用。本站并未授权任何人以任何方式主动获取本站任何信息。

② 本站未注明“稿件来源”的临时测试数据将在测试完成后最终做删除处理。有问题或投稿请发送至: 邮箱/279061341@qq.com QQ/279061341

软考中级精品资料免费领

  • 历年真题答案解析
  • 备考技巧名师总结
  • 高频考点精准押题
  • 2024年上半年信息系统项目管理师第二批次真题及答案解析(完整版)

    难度     813人已做
    查看
  • 【考后总结】2024年5月26日信息系统项目管理师第2批次考情分析

    难度     354人已做
    查看
  • 【考后总结】2024年5月25日信息系统项目管理师第1批次考情分析

    难度     318人已做
    查看
  • 2024年上半年软考高项第一、二批次真题考点汇总(完整版)

    难度     435人已做
    查看
  • 2024年上半年系统架构设计师考试综合知识真题

    难度     224人已做
    查看

相关文章

发现更多好内容

猜你喜欢

AI推送时光机
位置:首页-资讯-后端开发
咦!没有更多了?去看看其它编程学习网 内容吧
首页课程
资料下载
问答资讯