2025挖漏洞必备工具，零基础入门到精通，收藏这篇就够！-优快云博客

本文链接：https://blog.youkuaiyun.com/logic1001/article/details/149063003

今天给大家推荐一下在挖漏洞是经常用到的扩展都有哪些
（1）PwnFox
PwnFox 是一个 Firefox/Burp 扩展程序，可为您的安全审计提供有用的工具。功能包括：Single click BurpProxy 单击 BurpProxyContainers Profiles 容器配置文件 PostMessage Logger PostMessage 记录器Toolbox injection 工具箱注 Security header remove 安全标头去除器

在这里插入图片描述

这个浏览器最好的扩展是配合burp的一个扩展
https://blog.yeswehack.com/yeswerhackers/pimpmyburp-pwnfox-autorize-find-idor/
它可以很好与 Burp 套件结合测试越权和访问控制等问题。
因为它两个账号的数据包颜色不一样很方便测试

在这里插入图片描述

（2）网络渗透测试的多合一红队扩展
可促进您的 Web 应用程序渗透测试，它包括备忘单以及测试期间使用的所有工具，例如 XSS 有效负载、反向 shell 等等。使用该扩展程序，您不再需要在不同的网站或本地存储空间中搜索有效负载，只需单击一下即可访问大多数工具。文章最下方获取链接。
在这里插入图片描述

Features includes: 功能包括：
- Dynamic Reverse Shell generator (PHP, Bash, Ruby, Python, Perl, Netcat)
- 动态反向 Shell 生成器（PHP、Bash、Ruby、Python、Perl、Netcat）
- Shell Spawning (TTY Shell Spawning)
- 贝壳生成（TTY Shell Spawning）
- MSF Venom Builder - 无国界医生毒液生成器
- XSS Payloads - XSS 有效载荷
- Basic SQLi payloads - 基本 SQLi 有效载荷
- Local file inclusion payloads (LFI)
- 本地文件包含有效负载（LFI）
- Data Encoding - 数据编码
- Obfuscated Files or Information
- 混淆的文件或信息
- Hash Generator (MD5, SHA1, SHA256, SHA512, SM3)
- 哈希生成器（MD5、SHA1、SHA256、SHA512、SM3）
- Useful Linux commands (Port Forwarding, SUID)|
- 有用的 Linux 命令（端口转发、SUID）
- RSS Feed (Exploit DB, Cisco Security Advisories, CXSECURITY)
- RSS 源（漏洞利用数据库、思科安全公告、CXSECURITY）
- CVE Search Engine - CVE搜索引擎
- Various method of data exfiltration and download from a remote machine
- 从远程计算机泄露和下载数据的各种方法

（3）Hunte
使用 Hunter for Firefox/Chrome，您可以在访问网站时立即找到联系人。除了电子邮件地址，您还可以获得姓名、职位、社交网络和电话号码。所有数据在搜索结果中都有详述的公共来源。很适合OSINT和赏金猎人测试网站使用。文章最下方获取链接

在这里插入图片描述

（4）Temp mail
Temp Mail 提供临时、安全、匿名、免费、一次性的电子邮件地址。忘记垃圾邮件、广告邮件、黑客攻击和攻击机器人。保持您的真实邮箱清洁和安全。文章最下方获取链接

在这里插入图片描述

挖漏洞需要掌握的基础知识

首先说说基础理论知识:

1.计算机组成原理、计算机网络、计算机体系结构、计算机操作系统，密码学,多媒体技术等等。这些都需要掌握总之一句话就是大学计算机的基础课程。

2.编程: HTML、CSS、JavaScript、 PHP、 Java、 Python、 sql、 C、C++、 shell，汇编、nosql. powershell等等常见的语言基础都需要掌握，至少要熟练使用Python和sq|,这些语言都要学习两周到两三个月吧!

3.漏洞方面，漏洞分很多种，根据不同的标准也会有交叉，黑客要掌握大部分漏洞的形成原理，检测方法，利用方法，修复方法，常见的网站漏洞有sq|注入，XSS, 文件包含，目录遍历，文件上传，信息泄露，CSRF, 账号爆破，各种越权等等，常见的二进制漏洞有缓冲区溢出，堆溢出，整形溢出，格式化字符串等等，分析的时候还要绕过操作系统的保护机制。

协议的话也是存在漏洞的，比如TCP、UDP什么的拒绝服务，DNS劫持，ARP欺骗等等, 现在工控、物联网、AI什么的也都有各种各样的漏洞。