Quan


WEB安全 内网安全 终端对抗 威胁情报
WEB安全
我们为什么收集URL-精读总结

这是写gogo的那个团队的一个新工具,主要是介绍了URL发现的一些痛点,并加以改正。
文章中介绍了现如今目录扫描工具的不足,例如
1.太过于依赖字典,但超大的字典未必是真正的解决方案
2.状态码模糊,我们并不能简单的通过返回的状态码来去判断这个页面是否真的存在或者真的不存在,这个点个人认为比较好
而新工具简单看了看,感觉有以下几个优点:
1.强大的自定义,各种场景下的自定义。但我感觉这也是缺点,就是上手度很难,需要阅读并理解他们的WIKI。实际上GOGO的WIKI我觉得并不好,比如至今都没写对的-m snoping。实际上这是个workflow,-w snoping。
2.断点续传。我简直太爱他们的这个功能了,极度解决了我在高攻防对抗下,IP被ban,超时时间还到了,导致我的目录扫描被终止。然后再重新扫,还是那一堆。
更多的功能,等我仔细阅读后再分享。毕竟渗透测试的信息收集,无外乎:子域名、C段、指纹识别、目录扫描。所以这最基本的东西,我们必须做好一个完美的方案。毕竟多一个目录,或许就多一个功能点,也就多一个能进去的可能。
Github


https://mp.weixin.qq.com/s/at12zNLjoom-GFimy8zSUA