如何使用ParamSpider在Web文档中搜索敏感参数广大研究人员可以利用Pa...

文章图片

ParamSpiderParamSpider是一款功能强大的Web参数挖掘工具，广大研究人员可以利用ParamSpider来从Web文档的最深处挖掘出目标参数。
核心功能针对给定的域名，从Web文档中搜索相关参数；
针对给定的子域名，从Web文档中搜索相关参数；
支持通过指定的扩展名扫描引入的外部URL地址；
以用户友好且清晰的方式存储扫描的输出结果；
在无需与目标主机进行交互的情况下，从Web文档中挖掘参数；
工具安装&下载注意：ParamSpider的正常使用需要在主机中安装配置Python3.7+环境。
广大研究人员可以使用下列命令将该项目源码克隆至本地，并安装相关的依赖组件：
$gitclonehttps://github.com/devanshbatham/ParamSpider$cdParamSpider$pip3install-rrequirements.txt$python3paramspider.py--domainhackerone.com工具使用选项1-执行一次简单扫描任务[未使用—exclude参数]：->Outputex:https://hackerone.com/test.php?q=FUZZ2-使用特定扩展名指定外部URL地址：$python3paramspider.py--domainhackerone.com--excludephp,jpg,svg3-查询嵌套参数：$python3paramspider.py--domainhackerone.com--levelhigh->Outputex:https://hackerone.com/test.php?p=test&q=FUZZ4-存储扫描数据：$python3paramspider.py--domainhackerone.com--excludephp,jpg--outputhackerone.txt5-使用自定义占位符文本（默认为“FYZZ”）：$python3paramspider.py--domainhackerone.com--placeholderFUZZ26-使用静默模式（不在屏幕输出URL地址）：$python3paramspider.py--domainhackerone.com--quiet7-排除特定子域名：$python3paramspider.py--domainhackerone.com--subsFalseParamSpider+GF假设你现在已经安装好了ParamSpider ，现在你想要从大量的参数中筛选出有意思的参数，那你就可以配合GF工具一起使用了。
注意：在使用该工具之前，请确保本地主机配置好了Go环境。
$goget-ugithub.com/tomnomnom/gf$cp-r$GOPATH/ src/github.com/tomnomnom/gf/examples~/.gfNote:Replace'/User/levi/go/bin/gf'withthepathwheregfbinaryislocatedinyoursystem.$aliasgf='/User/levi/go/bin/gf'$cd~/.gf/Note:PasteJSONfiles(https://github.com/devanshbatham/ParamSpider/tree/master/gf_profiles)in~/.gf/folderNowrunParamSpiderandnavigatetotheoutputdirectory$gfredirectdomain.txt//forpotentialopenredirect/SSRFparameters$gfxssdomain.txt//forpotentialxssvulnerableparameters$gfpotentialdomain.txt//forxss+ssrf+openredirectparameters$gfwordpressdomain.txt//forwordpressurls[MoreGFprofilestobeaddedinfuture]工具使用样例$python3paramspider.py--domainbugcrowd.com--excludewoff,css,js,png,svg,php,jpg--outputbugcrowd.txt注意事项：因为该工具将从Web文档数据中爬取参数，因此输出结果存在一定假阳性。
项目地址ParamSpider：
【https://github.com/devanshbatham/ParamSpider】

文章图片

文章图片

【如何使用ParamSpider在Web文档中搜索敏感参数】
文章图片

如何使用ParamSpider在Web文档中搜索敏感参数

推荐阅读

S10|S10抽签成翻车现场，LPL解说连续口误十次引热议！被LGD好签影响

早教机构接连关门无资质“托儿所”究竟有多少？该如何管起来？

#眷恋至深#王者荣耀：五五开黑节这阵容搭配百星主播都在用掉星不存在

【枕边文化】1.4T＋七档双离合，油耗5.6L，12.89万，三个月销量破十万

酷车大世界|老国王曾经不同意，如今圆满！，英国女王和菲利普长达72年的爱情

王志翔|原创凭一首歌赚9亿，潘安邦52岁因病离世，遗产全归妻子导致婆媳反目

肺炎疫苗有必要打吗

彩霞讲故事|清朝的八旗子弟是怎么来的呢？

日泰|缺点都暴露出来了，有这五个特征的人最好不要穿蕾丝裙

李子和柿子可以一起吃吗?

西梅和黑布林的区别西梅和黑布林的区别是什么

中年|大咖云集三水，共话新能源汽车产业集群化跨越式发展

德庆特色美食

|8天的药1天吃完！男子网上求医还自主用药，结果差点悲剧！

卫子夫为什么自刎,卫子夫为什么自刎

洛阳纸贵与哪位历史人物有关？

星座乐|12星座最温柔的星座女

蛏子怎么清洗? 教你蛏子的清洗方法

右手网■17 系列将采用 4500 毫安电池 + 30W 快充方案，官方确认魅族

游侠|三国杀女性武将也有高爆发？淑女之夜盘点女汉子武将！