securecodebox/scanner-ffuf

securecodebox/scanner-ffuf 镜像说明

镜像概述

本镜像为OWASP secureCodeBox项目的核心扫描器之一，基于开源工具ffuf（MIT许可证）构建，用于Web应用的模糊测试与漏洞预检测。它集成了***字典库，可与secureCodeBox的parser组件配合，将扫描结果转换为通用格式，支持DevSecOps流程中的持续安全扫描。

核心功能

1. 多场景模糊测试：支持目录爆破、HTTP参数/XSS/SQLi模糊测试、Host头部替换等场景。
2. 灵活的匹配与过滤：可通过状态码、响应大小、正则表达式等条件筛选结果。
3. 高效并发：支持多线程并发请求，可配置速率限制与延迟。
4. 丰富输出：支持JSON、HTML、CSV等多种结果格式，便于集成与分析。
5. 字典集成：内置***字典库，简化测试配置。

使用场景

• DevSecOps流程中对Web应用进行持续安全扫描，提前发现低危漏洞。
• 渗透测试前期的快速资产探测与漏洞预筛查。
• 企业内部Web系统的定期安全巡检。

配置说明

必选参数

• -u：目标URL（需包含FUZZ关键词，如https://example.com/FUZZ）。
• -w：字典文件路径（如/path/to/wordlist.txt，镜像内置***字典路径可参考项目文档）。

常用参数

• -c：彩色输出。
• -v：详细模式，显示完整URL与重定向信息。
• -mc：匹配的HTTP状态码（默认：200,204,301,302,307,401,403,405,500）。
• -fs：过滤指定响应大小的结果。

部署示例

拉取镜像

bash
docker pull docker.xuanyuan.run/securecodebox/scanner-ffuf

基本扫描（目录爆破）

bash
docker run --rm docker.xuanyuan.run/securecodebox/scanner-ffuf -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-small.txt -u https://example.com/FUZZ -c -v

头部模糊测试

bash
docker run --rm docker.xuanyuan.run/securecodebox/scanner-ffuf -w hosts.txt -u https://example.com/ -H "Host: FUZZ" -mc 200

参考链接

• https://github.com/secureCodeBox/secureCodeBox
• https://github.com/ffuf/ffuf
• https://github.com/danielmiessler/***