Pyfiscan – 本地 Web 应用程序漏洞扫描程序

简介

Pyfiscan 是一款基于 Python 的本地 Web 应用程序漏洞扫描程序。它使用多线程和队列技术，可以快速地扫描网站的任何部分，如页面、表单、文件、目录等等。同时，它还具备自动登录功能，可以模拟常见的登录方式来检测需要登录才能访问的页面。除此之外，它还提供了简单易用的插件系统，支持自定义插件的开发和使用。

特点

• 简单易用：Pyfiscan 非常易于配置和使用，具备友好的命令行界面，以及详细的帮助文档。
• 快速高效：Pyfiscan 使用多线程和队列技术，可以快速地扫描网站的每一个部分，减少漏报和误报。
• 自动化功能：Pyfiscan 具备自动登录功能，可以模拟常见的登录方式来检测需要登录才能访问的页面。
• 插件系统：Pyfiscan 提供了简单易用的插件系统，支持自定义插件的开发和使用。

安装

从 GitHub 安装

# 克隆 Pyfiscan 代码库
git clone https://github.com/fkaske/Pyfiscan.git

# 切换到 Pyfiscan 目录
cd Pyfiscan

# 安装 Pyfiscan 所需的 Python 依赖
pip install -r requirements.txt

# 运行 Pyfiscan
python pyfiscan.py --url http://example.com

使用 pip 安装

# 安装 Pyfiscan
pip install pyfiscan

# 运行 Pyfiscan
pyfiscan --url http://example.com

使用方法

基本命令

pyfiscan --url http://example.com  # 对目标 URL 进行扫描
pyfiscan --help  # 查看帮助信息

高级选项

pyfiscan --url http://example.com --plugins all  # 使用所有插件进行扫描
pyfiscan --url http://example.com --plugins xss  # 使用 XSS 插件进行扫描
pyfiscan --url http://example.com --user=username --password=123456  # 使用指定的用户名和密码进行登录
pyfiscan --url http://example.com --cookie="name=value"  # 使用指定的 Cookie 进行访问
pyfiscan --url http://example.com --header="name=value"  # 使用指定的请求头进行访问
pyfiscan --url http://example.com --threads=64  # 使用指定数量的线程进行扫描
pyfiscan --url http://example.com --queue=128  # 使用指定长度的队列进行扫描
pyfiscan --url http://example.com --output=output.json  # 将扫描结果保存到指定文件中

插件开发

Pyfiscan 提供了简单易用的插件系统，支持自定义插件的开发和使用。要创建一个新的插件，只需编写一个 Python 文件，其中包含 BasePlugin 类的一个子类，并实现 scan 方法即可。例如：

from pyfiscan.BasePlugin import BasePlugin

class MyPlugin(BasePlugin):
    name = "My Plugin"
    description = "This is a demo plugin."

    def scan(self, response):
        if "password" in response.text:
            self.logger.warning("Password found in response.")

然后在启动 Pyfiscan 时，使用 --plugin-path 选项指定插件所在目录，就可以使用新的插件了。

pyfiscan --url http://example.com --plugin-path /path/to/plugins/dir --plugins my_plugin

参考链接

• Pyfiscan 官方 GitHub 仓库
• Pyfiscan 官方文档（英文）