用WWWGrep来检查你的网站元素安全

WWWGrep是一款用于HTML安全的工具,它基于grepping机制,支持对HTML元素的类型检查和递归搜索。此工具可用于寻找登录页面的用户名或密码输入字段,检查Header以识别技术使用,寻找Cookie和JWT令牌,以及自动化递归搜索。此外,它还能查找易受攻击的JavaScript代码,识别API令牌,测试多站点的安全性,并发现共享代码库。使用者可以通过指定不同的命令行选项来定制搜索行为,如搜索输入字段、注释、JavaScript等。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

导读WWWGrep是一款针对HTML安全的工具,该工具基于快速搜索“grepping”机制实现其功能,并且可以按照类型检查HTML元素,并允许执行单个、多个或递归搜索。

关于WWWGrep

WWWGrep是一款针对HTML安全的工具,该工具基于快速搜索“grepping”机制实现其功能,并且可以按照类型检查HTML元素,并允许执行单个、多个或递归搜索。Header名称和值同样也可以通过这种方式实现递归搜索。Linux就该这么学

用WWWGrep来检查你的网站元素安全用WWWGrep来检查你的网站元素安全

功能介绍

  • 使用递归选项在目标站点上搜索名为“username”或“password”的输入字段,快速定位登录页面。
  • 快速检查Header以了解特定技术的使用情况。
  • 通过搜索响应Header快速定位Cookie和JWT令牌。
  • 与代理工具一起使用可通过一组链接快速自动执行递归。
  • 通过搜索输入字段和参数处理符号,找到页面(或站点)上的所有输入接收器。
  • 在页面上找到所有开发人员注释,以识别注释掉的代码(或待办事项)。
  • 快速查找网页中存在的易受攻击的JavaScript代码。
  • 识别页面代码中存在的API令牌和访问密钥。
  • 快速测试管理下的多个站点是否使用了易受攻击的代码。
  • 快速测试管理下的多个站点是否使用了易受攻击的框架/技术。
  • 查找可能共享公共代码库的站点,以确定缺陷/漏洞的影响。
  • 查找共享公共身份验证令牌(Header身份验证令牌)的站点。
  • 其它功能...

工具安装

广大研究人员可以使用下列命令将该项目源码克隆至本地,并安装好相关的依赖组件:

git clone https://github.com/OWASP/wwwgrep.git 
pip3 install -r requirements.txt 
python3 wwwgrep.py  

依赖组件(pip3 install -r requirements.txt)

- Python 3.5+ 
- BeautifulSoup 4 
- UrlLib.parse 
- requests_html 
- argparse 
- requests 
- re 
- os.path 

命令行选项

wwwgrep.py [target/file] [search_string] [search params/criteria/recursion etc] 
Search Inputs 
search_string 指定要搜索的字符串,或者为搜索参数中指定类型的所有对象指定“” 
-t --target 指定单个URL作为搜索的目标 
-f --file 指定包含要搜索的URL列表的文件 
Recursion 
-rr --recurse-root 将URL递归限制到目标中提供的域 
-ra --recurse-any 允许递归扩展到目标域之外 
Matching Criteria 
-i --ignore-case   执行不区分大小写的匹配(默认为按大小写) 
-d --dedupe       允许每页有重复的结果(默认为消除重复的结果) 
-r --no-redirects   不允许重定向(默认为允许重定向) 
-b --no-base-url   从输出中省略匹配的URL(默认情况下包括URL) 
-x --regex        允许使用正则表达式匹配项(搜索字符串被视为正则表达式,默认值为off) 
-e --separator  指定和输出说明符(默认值为:) 
-j --java-render   打开页面对象和文本的JavaScript呈现(默认为关闭) 
-p --linked-js-on  打开链接(脚本src标记)Java脚本的搜索功能(默认为关闭) 
Request Parameters  
-ps --https-proxy 以“https://:”格式指定HTTPS协议的代理 
-pp --http-proxy 以“https://:”格式指定HTTP协议的代理 
-hu --user-agent 指定在请求中用作用户代理的字符串 
-ha --auth-header 指定要在请求Header中使用的承载令牌或其他身份验证字符串 
Search Parameters 
-s --all       在所有页面HTML和脚本中搜索匹配的术语 
-sr --relative       搜索匹配相对URL页面链接 
-sa --absolute   搜索匹配绝对URL页面链接 
-si --input-fields   在页面中搜索匹配的输入字段 
-ss --scripts       搜索与搜索规范匹配的脚本标记 
-st --text          搜索页面上与搜索规范匹配的可见文本 
-sc --comments     搜索页面上与搜索规范匹配的注释 
-sm --meta          在页面元数据中搜索与搜索规范的匹配项 
-sf --hidden        在隐藏字段中搜索与搜索规范的特定匹配项 
-sh --header-name   搜索响应Header以查找与搜索规范的特定匹配项 
-sv --header-value   搜索响应Header值以查找与搜索规范的特定匹配项 

工具使用样例

递归查找站点上名为login的所有输入字段,匹配不区分大小写:

wwwgrep.py -t https://www.target.com -i -si “login” -rr 

在网站的所有页面上查找包含“待办事项(to do)”一词的所有注释:

wwwgrep.py -t https://www.target.com -i -sc “to do” -rr 

查找特定网页上的所有注释:

wwwgrep.py -t https://www.target.com/some_page -i -sc “” 

使用站点递归方式查找input.txt文件中包含的web应用程序列表中的所有隐藏字段:

wwwgrep.py -f input.txt -sf “” -rr 

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值