FFUF — это инструмент для перебора директорий, файлов, параметров, поддоменов и других скрытых частей веб-приложения. Его используют специалисты по информационной безопасности для поиска скрытых страниц, административных панелей, резервных копий, API и других ресурсов, которые не видны через обычную навигацию сайта.
Ключевые факты
Разработчик: GitHub сообщество open-source
Тип ПО: инструмент для fuzzing и brute-force перебора веб-ресурсов
Язык реализации: Go
Платформа: Windows, Linux, macOS
Лицензия: открытая
Назначение и функции
FFUF предназначен для автоматического поиска скрытых директорий, файлов, параметров URL, виртуальных хостов и поддоменов. В отличие от старых инструментов вроде DirBuster, FFUF работает быстрее, использует меньше ресурсов и имеет гибкие настройки фильтрации.
Он использует wordlist, то есть список слов, который подставляется в нужное место URL.
Например, если указать:
site.com/FUZZ
То FFUF начнёт проверять:
/admin
/login
/backup
/test
/dev
/api
/config
И покажет, какие страницы реально существуют.
Использование и возможности
FFUF часто применяют для:
поиска скрытых директорий и файлов;
поиска резервных копий вроде backup.zip или db.sql;
поиска скрытых API;
поиска поддоменов;
перебора GET и POST параметров;
поиска виртуальных хостов;
фильтрации ответов по размеру, статус-коду и количеству слов.
Особенно полезна фильтрация. Например, если сервер всегда отвечает кодом 200 даже для несуществующих страниц, FFUF можно настроить так, чтобы он скрывал одинаковые ответы и показывал только реально интересные результаты.
Типичные HTTP-коды при работе FFUF:
200 — страница существует;
301 или 302 — редирект;
401 — нужна авторизация;
403 — доступ запрещён, но страница существует;
500 — ошибка сервера;
404 — ничего не найдено.
Инструмент часто используют во время тестирования веб-приложений, после этапа разведки и перед ручным анализом через Burp Suite или OWASP OWASP ZAP.
Ограничения и развитие
FFUF очень быстрый, но требует понимания HTTP-ответов и правильной настройки фильтров. Без этого можно получить тысячи ложных результатов.
Сегодня FFUF считается одним из самых популярных инструментов для directory fuzzing и часто используется вместо старых решений вроде DirBuster или Gobuster, потому что он быстрее, удобнее и поддерживает больше сценариев перебора.