如何使用ParamSpider在Web文档中搜索敏感参数
这篇文章将为大家详细讲解有关如何使用ParamSpider在Web文档中搜索敏感参数，文章内容质量较高，因此小编分享给大家做个参考，希望大家阅读完这篇文章后对相关知识有一定的了解。
公司主营业务：成都做网站、网站建设、外贸营销网站建设、移动网站开发等业务。帮助企业客户真正实现互联网宣传，提高企业的竞争能力。创新互联是一支青春激扬、勤奋敬业、活力青春激扬、勤奋敬业、活力澎湃、和谐高效的团队。公司秉承以“开放、自由、严谨、自律”为核心的企业文化，感谢他们对我们的高要求，感谢他们从不同领域给我们带来的挑战，让我们激情的团队有机会用头脑与智慧不断的给客户带来惊喜。创新互联推出莲花免费做网站回馈大家。
ParamSpider
ParamSpider是一款功能强大的Web参数挖掘工具，广大研究人员可以利用ParamSpider来从Web文档的最深处挖掘出目标参数。
核心功能
针对给定的域名，从Web文档中搜索相关参数；
针对给定的子域名，从Web文档中搜索相关参数；
支持通过指定的扩展名扫描引入的外部URL地址；
以用户友好且清晰的方式存储扫描的输出结果；
在无需与目标主机进行交互的情况下，从Web文档中挖掘参数；
工具安装&下载
注意：ParamSpider的正常使用需要在主机中安装配置Python 3.7+环境。
广大研究人员可以使用下列命令将该项目源码克隆至本地，并安装相关的依赖组件：
$ git clone https://github.com/devanshbatham/ParamSpider $ cd ParamSpider $ pip3 install -r requirements.txt $ python3 paramspider.py --domain hackerone.com
工具使用选项
1 - 执行一次简单扫描任务[未使用--exclude参数]：
$ python3 paramspider.py --domain hackerone.com -> Output ex : https://hackerone.com/test.php?q=FUZZ
2 - 使用特定扩展名指定外部URL地址：
$ python3 paramspider.py --domain hackerone.com --exclude php,jpg,svg
3 - 查询嵌套参数：
$ python3 paramspider.py --domain hackerone.com --level high -> Output ex : https://hackerone.com/test.php?p=test&q=FUZZ
4 - 存储扫描数据：
$ python3 paramspider.py --domain hackerone.com --exclude php,jpg --output hackerone.txt
5 - 使用自定义占位符文本（默认为“FYZZ”）：
$ python3 paramspider.py --domain hackerone.com --placeholder FUZZ2
6 - 使用静默模式（不在屏幕输出URL地址）：
$ python3 paramspider.py --domain hackerone.com --quiet
7 - 排除特定子域名：
$ python3 paramspider.py --domain hackerone.com --subs False
ParamSpider + GF
假设你现在已经安装好了ParamSpider，现在你想要从大量的参数中筛选出有意思的参数，那你就可以配合GF工具一起使用了。
注意：在使用该工具之前，请确保本地主机配置好了Go环境。
安装和配置命令如下：
$ go get -u github.com/tomnomnom/gf $ cp -r $GOPATH/src/github.com/tomnomnom/gf/examples ~/.gf Note : Replace '/User/levi/go/bin/gf' with the path where gf binary is located in your system. $ alias gf='/User/levi/go/bin/gf' $ cd ~/.gf/ Note : Paste JSON files(https://github.com/devanshbatham/ParamSpider/tree/master/gf_profiles) in ~/.gf/ folder Now run ParamSpider and navigate to the output directory $ gf redirect domain.txt //for potential open redirect/SSRF parameters $ gf xss domain.txt //for potential xss vulnerable parameters $ gf potential domain.txt //for xss + ssrf + open redirect parameters $ gf wordpress domain.txt //for wordpress urls [More GF profiles to be added in future]
工具使用样例
$ python3 paramspider.py --domain bugcrowd.com --exclude woff,css,js,png,svg,php,jpg --output bugcrowd.txt
注意事项：因为该工具将从Web文档数据中爬取参数，因此输出结果存在一定假阳性。
关于如何使用ParamSpider在Web文档中搜索敏感参数就分享到这里了，希望以上内容可以对大家有一定的帮助，可以学到更多知识。如果觉得文章不错，可以把它分享出去让更多的人看到。
分享文章：如何使用ParamSpider在Web文档中搜索敏感参数
URL链接：http://scjbc.cn/article/jegjod.html
